本文介绍了在 Bazel 中沙盒化、如何安装 sandboxfs 以及调试沙盒环境。
沙盒是一种权限限制策略，可将进程与其他进程或系统中的资源隔离开来。对于 Bazel，这意味着要限制文件系统访问权限。
Bazel 的文件系统沙盒在仅包含已知输入的工作目录中运行进程，因此编译器和其他工具不会看到它们不应访问的源文件，除非它们知道这些文件的绝对路径。
沙盒不会以任何方式隐藏托管环境。进程可以自由访问文件系统上的所有文件。但是，在支持用户命名空间的平台上，进程无法修改其工作目录之外的任何文件。这可确保构建图没有可能影响构建的可再现性的隐藏依赖项。
更具体地说，Bazel 会为每个操作构建一个 execroot/ 目录，该目录在执行时充当相应操作的工作目录。execroot/ 包含操作的所有输入文件，并用作任何生成的输出的容器。然后，Bazel 会使用操作系统提供的方法（Linux 上的容器和 macOS 上的 sandbox-exec）将操作限制在 execroot/ 内。
采用沙盒的原因
如果没有操作沙盒，Bazel 就不知道工具是否使用了未声明的输入文件（操作依赖项中未明确列出的文件）。当某个未声明的输入文件发生更改时，Bazel 仍会认为构建是最新的，并且不会重新构建操作。这可能会导致增量 build 不正确。
错误重用缓存条目会导致远程缓存期间出现问题。共享缓存中的缓存条目错误会影响项目中的每个开发者，擦除整个远程缓存并非可行的解决方案。
沙盒模拟了远程执行的行为。如果构建能够很好地与沙盒协同工作，则构建可能也支持远程执行。通过让远程执行上传所有必要的文件（包括本地工具），与每次要试用新编译器或更改现有工具时都必须在集群中的每台机器上安装工具相比，您可以显著降低编译集群的维护费用。
应使用哪种沙盒策略
您可以使用策略标志选择要使用的沙盒类型（如果有）。使用 sandboxed 策略会使 Bazel 选择下面列出的沙盒实现之一，从而优先使用特定于操作系统的沙盒，而不是不那么封闭的通用沙盒。如果您传递 --worker_sandboxing 标志，永久性工作器将在通用沙盒中运行。
local（也称为 standalone）策略不会执行任何类型的沙盒化。它只是在将工作目录设置为工作区的 execroot 的情况下执行操作的命令行。
processwrapper-sandbox 是一种不需要任何“高级”功能的沙盒策略，它应该适用于任何开箱即用的 POSIX 系统。它会构建一个沙盒目录（由指向原始源文件的符号链接组成），在将工作目录设置为此目录（而不是 execroot）的情况下执行操作的命令行，然后将已知的输出制品从沙盒移到 execroot 中并删除沙盒。这样可以防止该操作意外使用任何未声明的输入文件，以及向 execroot 发送未知输出文件。
更进一步，linux-sandbox 基于 processwrapper-sandbox 构建而成。与 Docker 在后台执行的操作类似，它使用 Linux 命名空间（用户、装载、PID、网络和 IPC 命名空间）将操作与主机隔离开来。也就是说，此操作会将整个文件系统设为只读（沙盒目录除外），因此该操作不会意外修改主机文件系统上的任何内容。这可以防止有问题的测试意外对 $HOME 目录执行 -rf 操作。您还可以选择阻止该操作访问网络。linux-sandbox 使用 PID 命名空间来防止操作看到任何其他进程，并在最后可靠地终止所有进程（即使是该操作生成的守护程序）。
darwin-sandbox 与之类似，但适用于 macOS。它使用 Apple 的 sandbox-exec 工具实现的效果与 Linux 沙盒大致相同。
由于操作系统提供的机制存在限制，linux-sandbox 和 darwin-sandbox 在“嵌套”场景中都无法工作。由于 Docker 还将 Linux 命名空间用作其容器魔法命令，因此除非您使用 docker run --privileged，否则无法在 Docker 容器内轻松运行 linux-sandbox。在 macOS 上，您无法在已沙盒化的进程中运行 sandbox-exec。因此，在这种情况下，Bazel 会自动回退到使用 processwrapper-sandbox。
如果您希望收到构建错误（例如，为了避免意外地使用不太严格的执行策略进行构建），请明确修改 Bazel 尝试使用的执行策略列表（例如 bazel build
--spawn_strategy=worker,linux-sandbox）。
动态执行通常需要采用沙盒机制才能在本地执行。如需停用，请传递 --experimental_local_lockfree_output 标志。动态执行会以静默方式将永久性工作器沙盒化。
沙盒的缺点
沙盒会产生额外的设置和拆解费用。此费用的大小取决于多种因素，包括 build 的形状和主机操作系统的性能。对于 Linux 而言，沙盒化 build 的速度不会超过百分之几。设置
--reuse_sandbox_directories可以降低设置和拆解费用。沙盒可有效地停用该工具可能具有的任何缓存。您可以使用永久性工作器缓解此问题，但代价是沙盒保证较弱。
多路复用工作器需要对工作器支持进行沙盒化处理。不支持多路复用沙盒的工作器在动态执行下作为单工工作器运行，这可能会消耗额外的内存。
sandboxfs
sandboxfs 是一种 FUSE 文件系统，公开对底层文件系统的任意视图，且不会占用时间。Bazel 使用 sandboxfs 为每个操作即时生成 execroot/，从而避免发出数千个系统调用。请注意，由于 FUSE 开销，execroot/ 内的进一步 I/O 速度可能会更慢。
安装 sandboxfs
请按照以下步骤安装 sandboxfs 并使用它执行 Bazel 构建：
下载
下载并安装
sandboxfs，以使 sandboxfs 二进制文件最终在您的 PATH 中。
运行 sandboxfs
- （仅限 macOS）安装 OSXFUSE。
（仅限 macOS）运行以下命令：
sudo sysctl -w vfs.generic.osxfuse.tunables.allow_other=1您需要在安装后和每次重新启动后执行此操作，以确保核心 macOS 系统服务通过 sandboxfs 运行。
使用
--experimental_use_sandboxfs运行 Bazel 构建。bazel build target --experimental_use_sandboxfs
问题排查
如果您看到 local 而不是 darwin-sandbox 或 linux-sandbox 作为所执行操作的注释，这可能意味着沙盒已停用。传递 --genrule_strategy=sandboxed --spawn_strategy=sandboxed 即可启用它。
调试
请按照以下策略调试沙盒问题。
已停用的命名空间
出于安全考虑，在某些平台（例如 Google Kubernetes Engine 集群节点或 Debian）上，用户命名空间默认处于停用状态。如果 /proc/sys/kernel/unprivileged_userns_clone 文件存在且包含 0，您可以通过运行以下命令激活用户命名空间：
sudo sysctl kernel.unprivileged_userns_clone=1
规则执行失败
沙盒可能会因系统设置而无法执行规则。如果您看到类似 namespace-sandbox.c:633: execvp(argv[0], argv): No such file or
directory 的消息，请尝试通过 --strategy=Genrule=local（针对 genrules）和 --spawn_strategy=local（针对其他规则）停用沙盒。
详细调试构建失败问题
如果构建失败，请使用 --verbose_failures 和 --sandbox_debug 让 Bazel 显示构建失败时它运行的确切命令，包括设置沙盒的部分。
错误消息示例：
ERROR: path/to/your/project/BUILD:1:1: compilation of rule
'//path/to/your/project:all' failed:
Sandboxed execution failed, which may be legitimate (such as a compiler error),
or due to missing dependencies. To enter the sandbox environment for easier
debugging, run the following command in parentheses. On command failure, a bash
shell running inside the sandbox will then automatically be spawned
namespace-sandbox failed: error executing command
(cd /some/path && \
exec env - \
LANG=en_US \
PATH=/some/path/bin:/bin:/usr/bin \
PYTHONPATH=/usr/local/some/path \
/some/path/namespace-sandbox @/sandbox/root/path/this-sandbox-name.params --
/some/path/to/your/some-compiler --some-params some-target)
您现在可以检查生成的沙盒目录并查看 Bazel 创建的文件，然后再次运行该命令以查看其行为方式。
请注意，当您使用 --sandbox_debug 时，Bazel 不会删除沙盒目录。除非您正在主动调试，否则应停用 --sandbox_debug，因为随着时间的推移，它会占用您的磁盘空间。