在 Linux 系统中，pivot_root 和 chroot 都用于隔离进程的文件系统视图，但它们的实现机制、安全性和使用场景有显著差异：
核心区别
| 特性 | chroot | pivot_root |
|---|---|---|
| 作用目标 | 修改进程的根目录（/ 的挂载点） | 替换整个挂载命名空间的根文件系统 |
| 隔离性 | 弱（仅修改路径解析起点） | 强（结合挂载命名空间隔离旧根） |
| 依赖条件 | 无需特殊权限（但需 CAP_SYS_CHROOT 能力） | 需 CAP_SYS_ADMIN 能力或挂载命名空间权限 |
| 旧根访问风险 | 旧根仍可能通过挂载点访问（如 /proc/mounts） | 旧根被卸载或挂载到子目录，无法直接访问 |
| 典型场景 | 简易沙箱、传统容器隔离 | 容器启动、系统初始化（如 initramfs 切换根） |
功能细节
- chroot
●机制： 通过系统调用 chroot("new_root") 将进程的根目录改为 new_root，后续所有路径解析（如 /bin/ls）均以该目录为起点。
●限制：
○旧根仍可访问：若进程拥有挂载权限，可通过 mount /dev/sda1 /old_root 重新挂载旧根路径。
○未隔离挂载点：原系统的挂载信息（如 /proc、/sys）仍对进程可见。
●安全问题： 若进程逃逸（如利用内核漏洞或未隔离的 /proc），可能突破沙箱。 - pivot_root
●机制：
a将当前根文件系统挂载到新根的某个子目录（如 new_root/old_root）。
b切换根挂载点为 new_root，并卸载旧根（通过 umount -l /old_root）。
●优势：
○彻底隔离旧根：旧根文件系统被卸载或仅保留在子目录中，无法通过常规路径访问。
○结合挂载命名空间：通常在独立的挂载命名空间中操作，避免影响宿主机。
●流程示例：
使用场景对比
| 场景 | chroot | pivot_root |
|---|---|---|
| 临时文件系统隔离 | 适用（如构建软件包） | 不适用（操作复杂） |
| 容器启动 | 不适用（隔离性不足） | 适用（Docker/容器运行时初始化根文件系统） |
| 系统初始化 | 不适用 | 适用（从 initramfs 切换到真实根目录） |
| 安全沙箱 | 低风险场景（需配合其他隔离机制） | 高风险场景（强隔离性） |
安全增强建议●chroot： 需配合挂载命名空间（mount namespace）、能力限制（CAP_SYS_ADMIN 等）和 seccomp 规则，防止逃逸。●pivot_root： 通常与完整的容器技术栈（如 Cgroups、Namespace）结合使用，实现全隔离环境。总结chroot 是轻量级的根目录切换工具，适用于简单隔离；pivot_root 是更彻底的根文件系统替换方案，专为容器化和系统初始化设计，提供更强的隔离性和安全性。现代容器技术（如 Docker）优先使用 pivot_root 实现文件系统隔离。
