Firejail 应用沙箱
Firejail 用 Linux namespace、seccomp 和 AppArmor 把单个应用隔离在受限环境，适合运行浏览器、下载工具和不可信程序。它不需要完整容器运行时。
核心能力：文件系统隔离、网络隔离、seccomp、资源限制和 profile。
安装：
apt install firejail
firejail --version
运行应用：
firejail firefox
firejail --private firefox
限制网络：
firejail --net=none wget https://example.com
限制文件系统：
firejail --private=/tmp/sandbox --read-only=/home/user/docs app
查看沙箱：
firejail --list
firejail --tree
使用 profile：
firejail --profile=/etc/firejail/firefox.profile firefox
--private 使用临时 home，退出后数据丢失。--net=none 后应用无法联网，需要按需开放。