chroot

定义

chroot(change root)是 Unix 系统调用及同名命令,用于把进程及其子进程可见的根目录「/」切换到指定目录,使其无法访问该目录树之外的文件,是最早的文件系统隔离手段之一,1979 年即出现在 Unix V7 中。

应用

系统救援是最常见用途:从 Live CD 启动后挂载故障系统的根分区,chroot /mnt 进入其中即可像正常登录一样修复引导、重置密码、重装内核;发行版构建工具(如 debootstrap、mock)用 chroot 创建干净的编译环境;FTP、DNS 等服务历史上也用它限制进程可见范围。

局限

chroot 只隔离文件系统视角,不隔离进程、网络、用户与资源,root 用户有多种公开的逃逸手法,因此它不是安全边界,不能当沙箱使用。