概念

Landlock

Linux 内核 5.13 引入的非特权沙箱安全机制，允许进程在运行时主动声明文件系统与网络访问边界，由内核强制执行，无需 root 权限，可用于容器内的纵深防御

时间轴 (近 90 天)

10月27日

内核级限制通常借助 seccomp、Landlock、cgroup 等机制，在系统调用进入内核时按白名单或规则进行拦截，因此比应用层钩子更难绕过。

待验证50%

10月27日

Landlock 是 Linux 内核 5.13 首次引入的非特权沙箱机制，到 6.2 才具备完整的网络与文件系统访问控制能力，这是 OpenShell 把内核下限设为 6.2 的原因。

待验证50%

10月27日

OpenShell 在检测到内核不支持 Landlock 时会直接拒绝启动沙箱，而不会静默降级运行。

待验证50%

内核级限制通常借助 seccomp、Landlock、cgroup 等机制，在系统调用进入内核时按白名单或规则进行拦截，因此比应用层钩子更难绕过。

Landlock 是 Linux 内核 5.13 首次引入的非特权沙箱机制，到 6.2 才具备完整的网络与文件系统访问控制能力，这是 OpenShell 把内核下限设为 6.2 的原因。

OpenShell 在检测到内核不支持 Landlock 时会直接拒绝启动沙箱，而不会静默降级运行。