Исходное сообщение
"Руководство по использованию Capsicum для изоляции выполнени..." Отправлено Kibab, 16-Май-12 21:48
>> Посмотрел, спасибо. Что вывел для себя: >> 1. В примере разрешаются вызовы read, write. Это всё здорово, однако для >> stdin мне нужен только read, а для stdout только write. > Я конечно понимаю что бсдшники - перфекционисты. Но вот как раз именно > поэтому и рулят более другие системы. Да никому в этом мире > не уперлось максимальное решение со всеми наворотами. Надо реально работающее и > простое в использовани. Так, в общем случае. Проблема именно в том, что seccomp filters -- это не "простое в использовании". Даже тупой хелловорлд содержит уйму boilerplate-кода, доказательство тому -- просто чтение этого самого мануала по ссылке... И я бы поспорил, что оно "реально работает" -- когда у вас появляются ещё файлы, кроме stdin и stdout, и вы хотите из них читать и при этом что-то плевать на консоль -- вы автоматически вынуждены разрешить write(). Теперь вопрос -- на какие дескрипторы будет разрешён write() ? Я допускаю, правда, что в seccomp filter существует не менее хитрый способ ещё и отфильтровать аргументы у системных вызовов. Иначе бы этим вообще было бы невозможно пользоваться. Но он вряд ли будет менее кривым, чем способ инициализации этого фреймворка :-)