原文建议用Kubernetes SecurityContext进行沙箱化执行环境：以非root用户运行容器、禁用权限提升、把代码仓库挂载为只读卷，仅对特定输出目录开放写权限。