待验证50% 置信事实精确时间
chroot仅改变进程对根目录的认知，具有CAP_SYS_CHROOT权限的进程可以逃逸回宿主机文件系统，因此单独使用并不安全
1
来源数
50%
置信度
长期有效
时效性
2026/10/5
首次发现
来源
涉及实体
相关事实
待验证Unix系统中的chroot机制通过改变进程的根目录来限制文件系统访问范围，是最早的沙盒原型之一65% 相似已验证沙箱技术通过进程隔离、文件系统隔离和网络隔离等手段将不可信代码的执行限定在受控环境中58% 相似待验证macOS SIP（系统完整性保护）机制自 macOS El Capitan（10.11）引入，通过内核级强制访问控制使普通进程即便拥有 root 权限也无法修改受保护路径58% 相似待验证启用 dangerous 类访问会绕过文件隔离，运行不可信代码前需自己做隔离、审查和权限控制58% 相似待验证seccomp是Linux内核提供的安全机制，允许进程声明只使用哪些系统调用，内核会拒绝所有未声明的系统调用57% 相似
引用此条事实
Stable URI
https://kongchang.com/claim/977467API
curl https://kongchang.com/api/v1/knowledge/claims/977467MCP
get_claim(id=977467)