Bubblewrap 启动流程与权限收敛

从参数解析到 execvp；红点是不可逆步骤

Bubblewrap 启动流程与权限收敛 从参数解析到 execvp；红点是不可逆步骤 01 / 解析（无副作用） 02 / 内核授权（User Namespace） 03 / 文件系统（Mount Namespace） EX / 执行前收敛 CLI / FD · 参数与已授权资源 · 解析（无副作用） CLI / FD 参数与已授权资源 SetupOp 链 · 校验后不执行挂载 · 解析（无副作用） SetupOp 链 校验后不执行挂载 raw_clone + UID map · NO_NEW_PRIVS 已不可撤销 · 内核授权（User Namespace） raw_clone + UID map NO_NEW_PRIVS 已不可撤销 pivot_root #1 · tmpfs 上准备 newroot · 文件系统（Mount Namespace） pivot_root #1 tmpfs 上准备 newroot setup_newroot() · mount_setattr / openat2 · 文件系统（Mount Namespace） setup_newroot() mount_setattr / openat2 pivot_root #2 · 旧根 Detach，不可达 · 文件系统（Mount Namespace） pivot_root #2 旧根 Detach，不可达 Seccomp → execvp · Capability 已收敛 · 执行前收敛 Seccomp → execvp Capability 已收敛 parse_args 切换到目标 UID 挂载计划完成 Bind oldroot/proc drop_privs → seccomp 进入 Namespace OP 链按序消费