loading 可以用 bubblewrap 重映射所有目录。比如限制访问 home 的话,可以这样运行:mkdir -p "$HOME/.sandbox"bwrap \ --bind "$HOME/.sandbox" "$HOME" \ --bind /proc /proc \ --bind /run /run \ --bind /sys /sys \ --bind /tmp /tmp \ --bind /var /var \ --dev /dev \ --ro-bind /bin /bin \ --ro-bind /etc /etc \ --ro-bind /lib /lib \ --ro-bind /lib32 /lib32 \ --ro-bind /lib64 /lib64 \ --ro-bind /libx32 /libx32 \ --ro-bind /opt /opt \ --ro-bind /sbin /sbin \ --ro-bind /usr /usr \"$@"