Seccomp (全称 Secure Computing Mode) 是 Linux 内核中的一项关键安全功能。简单来说，它充当了进程与操作系统内核之间的“防火墙”，用于限制程序可以调用的系统资源。
它是构建现代沙盒技术（Sandbox）和容器安全（如 Docker, Kubernetes）的基石之一。
以下是对 Seccomp 的详细介绍：
1. 核心概念：为什么要用 Seccomp？
在 Linux 系统中，应用程序（用户空间）如果想要执行诸如“读写文件”、“建立网络连接”、“创建新进程”等操作，必须向内核发出请求，这种请求被称为系统调用 (System Call / syscall) 。
Linux 内核大约有 400 多个系统调用。大多数应用程序只需要其中的一小部分即可正常运行。
核心问题： 如果一个程序被黑客攻破（例如通过缓冲区溢出漏洞），攻击者通常会利用该进程的权限去执行它本不该执行的系统调用（比如运行 shell、修改系统时间、加载内核模块等）。
Seccomp 的作用就是缩小攻击面 (Attack Surface Reduction) 。通过定义白名单，只允许程序调用它真正需要的系统调用，禁止其他所有调用。即使程序被攻破，攻击者也寸步难行。
2. Seccomp 的两种工作模式
Seccomp 经历了从简单到复杂的演进，主要有两种模式：
A. 严格模式 (Strict Mode)
这是最早期的版本，非常极端。一旦开启，进程只能进行以下 4 种系统调用：
read()(读)write()(写)exit()(退出)sigreturn()(信号返回)
如果进程尝试调用除此之外的任何功能，内核会直接发送 SIGKILL 信号将其“杀掉”。由于过于严格，这种模式在实际应用中非常受限。
B. 过滤模式 (Filter Mode / Seccomp-BPF)
这是目前主流的模式。它允许开发者使用 BPF (Berkeley Packet Filter) 规则来定义精细的过滤策略。
- 灵活性高： 你可以指定“允许打开文件，但只能以只读方式打开”或者“禁止建立网络 Socket 连接”。
- 可配置动作： 当规则被违反时，可以选择直接杀掉进程、返回错误码（如
EPERM）、或者记录日志而不阻断（Audit 模式）。
3. 工作流程图解
为了让你更直观地理解，我们可以把 Seccomp 想象成一个海关检查站：
-
应用程序 (Application): 发起一个请求（比如：我想删除这个文件）。
-
Seccomp 过滤器 (The Checkpoint): 拦截这个请求，并检查手中的“规则手册”（BPF Profiles）。
- 规则：允许删除文件吗？ -> No.
-
内核 (Kernel): 根据 Seccomp 的指令，直接拒绝请求，并可能惩罚该进程（终止运行）。
-
结果： 恶意操作未遂，系统安全得到保障。
4. 实际应用场景
你可能在不知不觉中每天都在使用 Seccomp：
-
浏览器沙盒 (Chrome/Firefox): 当你浏览网页时，渲染进程被 Seccomp 严格限制。即使访问了恶意网站，脚本也很难突破浏览器去读取你硬盘里的个人文件。
-
容器技术 (Docker/Kubernetes):
- Docker 容器默认会启用一个 Seccomp 配置文件，它禁用了大约 44 个高危系统调用（如
reboot,mount等），以防止容器逃逸或破坏宿主机。
- Docker 容器默认会启用一个 Seccomp 配置文件，它禁用了大约 44 个高危系统调用（如
-
Android 系统: 现代 Android 应用在底层也受到 Seccomp 的限制，以隔离应用权限。
-
Serverless (AWS Lambda 等): 用于隔离多租户的代码执行环境。
5. Seccomp 与其他安全技术的区别
Seccomp 经常与 AppArmor 或 SELinux 一起被提及，但它们的侧重点不同：
| 特性 | Seccomp | AppArmor / SELinux |
|---|---|---|
| 控制对象 | 系统调用 (Syscalls) | 文件系统、网络资源、能力 (Capabilities) |
| 关注点 | 进程可以“做什么动作” | 进程可以“访问什么资源” |
| 例子 | 禁止调用 socket() 创建连接 | 允许访问 /var/www/ 但禁止访问 /etc/shadow |
| 层面 | 代码执行路径层面 | 资源访问控制层面 |
最佳实践是同时使用它们，构建纵深防御（Defense in Depth）。
总结
Seccomp 是 Linux 安全模型中一道强大的防线。它通过最小权限原则，限制了进程与内核交互的能力，从而将潜在的安全漏洞影响范围降到最低。
我可以为你做的下一步：
如果你对容器安全感兴趣，我可以为你展示如何在 Docker 中查看或自定义 Seccomp 配置文件，或者给你看一个简单的 C 语言代码示例，演示如何在代码中开启 Seccomp 保护。你需要哪一个？
