The CLI options lack a use case: allowing all internet access but blocking certain domains.

[SuperManito]

Please provide the --net-deny option.

By the way, is this project becoming more stable? I'm currently implementing sandbox functionality in my project, and constant changes to the functionality could cause disruptive changes and negatively impact the user experience.

Can we communicate in Mandarin?

[congwang-mk]

Noted, I think this request makes sense, as long as we don't mix --net-allow and --net-deny. Let me think about this.

For the stability, to leave rooms for redesign (such as --net-allow), the API and CLI are not stable before 1.0 release. You can pin a specific version. we can make each 0.x release API stable. Please let me know if this works for you.

[congwang-mk]

用中文也可以

[SuperManito]

用中文也可以

作者您好，我正在给我的开源项目 Arcadia 一站式代码自动化运维平台 开发沙箱功能。我的项目运行在容器中，需要非特权下的沙箱解决方案，已研究过 Bubblewrap。

我项目使用沙箱的主要场景为运行加密脚本，当前网络限制不能满足用户普遍需求，正如我上面所说需要一个默认联网但可以禁止部分连接的使用场景。目前已于数周前接近开发完毕，通过 CLI 集成您的项目，但因该问题迟迟没有上线。

在前面的 Issues 中我也提到了相关问题，环境变量、文件系统都已通过初步测试。

关于网络限制我认为大多数用户不需要了解 TCP 层的概念，只需要知道如何限制域名/IP、端口即可，表达式不应过于复杂，相较于 0.7 版本目前已得到了明显的改善，希望能够继续优化。

另外对于HTTP请求限制能否提供一键生成证书的功能？该功能门槛较高，这样能够使更多用户使用。

[SuperManito]

如果可以像 denoland/deno#26995 Deono 这样就好了，这 Issues 我都遗忘了，真绝了，两年才通过😄

[congwang-mk]

你好， @SuperManito

感谢你的反馈。你的需求已经收到。--net-deny我觉得没有问题，我还在开发之中，明天应该可以完成。我会参考你说的deno里的语法，方便你使用。

你提到的HTTP证书自动生成，我已经做好了，在这个PR里: #88 它的使用方式是： sandlock --http-inject-ca /etc/ssl/certs/ca-certificates.crt ... 其中 /etc/ssl/certs/ca-certificates.crt 是系统里的HTTP默认证书，这个命令不会覆盖它（其实也没有权限），只是逻辑上会注入自动生成的证书，让沙箱里的程序以为还是系统默认的。你看这个符合你的要求吗？

如果你还有其它意见和建议，欢迎提出。

谢谢！

[congwang-mk]

@SuperManito 我注意到你的项目是用typescript开发，需要sandlock 提供 typescript语言的绑定吗？

[SuperManito]

@SuperManito 我注意到你的项目是用typescript开发，需要sandlock 提供 typescript语言的绑定吗？

感谢适配

这个自动生成的证书是否支持 HTTPS 流量？HTTP 流量的话似乎也不需要证书吧，要不分开设计命令选项？--http-allow --https-allow

我这个项目的沙箱功能是纯 Bash Shell 实现暂时不需要 TypeScript 支持，目前用的是您这个项目编译的二进制包。不过您可以把它列入到 v2 版本的开发计划中，因为我注意很多大厂开源的沙箱库都是利用 TypeScript 编写的包装器以实现不同操作系统上的沙箱功能，对于 Linux 来说几乎使用的都是 Bubblewrap，可能行业以后都从 Python 转到 TypeScript 了。今天刚注意到了微软的 @microsoft/mxc-sdk

然后我还希望能更方便的自动化测试它的能力，我为此自己写了个js脚本来进行测试

还有个问题，我在找到您这个库之前用过一个特别恶心的沙箱类项目，它的限制配置没有生效却继续在系统上脱离沙箱直接执行了命令，并且没有任何提示，给人造成一种在沙箱正常运行的错觉，我希望您的这个项目能尽可能避免这种情况，并设计一个通用且详细的错误返回架构以帮助用户能够更好的排错。

[congwang-mk]

@SuperManito --http-inject-ca 是HTTPS，所有HTTP/HTTPS相关的命令行都是 --http-* 开头，不区分HTTPS。

$ ./target/release/sandlock run --http-allow "GET api.openai.com/v1/*" --http-inject-ca /etc/ssl/certs/ca-certificates.crt -r /usr -r /lib -r /etc -- curl -sS https://api.openai.com/v1/models
{
  "error": {
    "message": "Missing bearer authentication in header",
    "type": "invalid_request_error",
    "param": null,
    "code": null
  }
}

[SuperManito]

@SuperManito --http-inject-ca 是HTTPS，所有HTTP/HTTPS相关的命令行都是 --http-* 开头，不区分HTTPS。

$ ./target/release/sandlock run --http-allow "GET api.openai.com/v1/*" --http-inject-ca /etc/ssl/certs/ca-certificates.crt -r /usr -r /lib -r /etc -- curl -sS https://api.openai.com/v1/models
{
  "error": {
    "message": "Missing bearer authentication in header",
    "type": "invalid_request_error",
    "param": null,
    "code": null
  }
}

好的，可能是我理解错了，当成抓包了