Linux中的安全Python环境

Question

是否可以在Linux下创建一个安全运行任意Python脚本的环境？这些脚本应该从不受信任的人那里接收，可能太大而无法手动检查。

一个非常蛮力的解决方案是创建一个虚拟机并在每次启动不受信任的脚本后恢复其初始状态。 （太贵了。）

我想知道是否有可能限制Python访问文件系统并与其他程序进行交互等等。

Answer 1

考虑使用chroot监牢。这不仅非常安全，得到很好的支持和测试，而且还适用于从python运行的外部应用程序。

Answer 2

尝试搜索 “沙盒蟒”，例如：

http://wiki.python.org/moin/SandboxedPython

http://wiki.python.org/moin/How%20can%20I%20run%20an%20untrusted%20Python%20script%20safely%20(i.e.%20Sandbox)

Answer 3

您可以运行jython并使用JVM的沙盒机制。 JVM中的沙箱非常强大，非常了解，并且或多或少地有文档记载。需要一些时间才能准确定义你想要允许的内容以及你想要允许的内容，但是你应该能够从中获得非常强大的安全性......

另一方面，jython不是100与％兼容CPython的...

Answer 4

有4个东西，你可以尝试：

• 正如你已经提到的，使用虚拟机或虚拟化的一些其他形式的（也许是Solaris区域有足够的轻量级？）。如果脚本在那里破坏操作系统，那么你不在乎。
• 使用chroot将shell会话放入虚拟根目录，与主操作系统根目录分开。
• 使用systrace。把它看作系统调用的防火墙。
• 使用“监狱”，它是建立在systrace，让每一个它自己的进程表监狱等

Systrace已经失密最近，所以要意识到这一点。

Answer 5

难道你不能只是作为一个用户，而不能访问除目录中的脚本之外的任何东西吗？