对于 Chromium 这种浏览器来说，安全（Security）是底线。

原因有两个。一是浏览器几乎是使用人数最多的软件客户端，一旦出问题，影响很大；另外，在网络空间，一切都是匿名的，对恶意用户缺乏很好的甄别和惩罚机制，因此形形色色的网络攻击层出不穷。

Chromium 需要妥善地解决这个问题。

本文将从 Chromium 如何理解“安全”这个问题出发，引入 Sandbox 的概念，简单阐述它的实现原理，最后谈一谈启发。

1. 背景

之前 文章🔗 文章到 “The Rule Of 2”，即不可信输入（Untrusted Inputs）、不安全编程语言（Unsafe implementation language）和高特权（High Privilege）三者不应同时满足，否则就会有安全风险。

于是 Chromium 引入 Sandbox（沙盒）机制，破坏其中的高特权。

这是因为 Chromium 主体开发语言是 C++，属于不安全编程语言。此外，网络环境复杂，浏览器需要处理各种可能的输入，其中不乏恶意代码。这两者都难以避免，只能从高特权上想办法。

2. Sandbox 设计理念

Sandbox 本质是对代码执行能力的约束。

有句古话：

权力导致腐败，绝对的权力导致绝对的腐败。

对于浏览器而言同样如此。

权限较高的进程，一旦被恶意操纵，带来的负面影响也会比较大。

比如一些复杂的攻击场景：

• 渲染引擎漏洞：JavaScript 引擎或渲染模块一旦被利用，攻击者就能直接执行恶意代码。

• 跨站脚本 (XSS) 和 内存漏洞：可能让恶意网页突破安全边界，访问敏感数据。

• 插件与扩展：运行在浏览器中的第三方组件也可能带来安全风险。

如果没有一套完整的隔离手段，攻击就会得逞。

结合 Chromium 多进程架构，为不同功能的进程分配最低权限，隔离模型就搭建完成了。

• 浏览器进程 (Browser Process)：拥有高权限，负责 UI、网络请求调度、文件访问。
• 渲染进程 (Renderer Process)：运行网页脚本和渲染任务，权限最低，被严格限制。
• 插件进程、GPU 进程、扩展进程：也各自运行在受控的 Sandbox 中。

浏览器进程不会执行外部输入，因此即便权限高一些，风险也可控；在渲染进程中，如果出现恶意代码，因为权限受控，危害很小。

3. Sandbox 实现

Sandbox 在 Chromium 中是一个独立的 C++ 库，其实现十分依赖不同操作系统提供的权限接口。

3.1 Windows 平台

• 利用 Job Objects、Integrity Levels (低完整性)、Token Restrictions 来降低进程权限。

• 禁止访问用户文件系统（除特定沙盒代理允许的 IPC 请求）。

• 利用 内核对象命名空间隔离，防止沙盒进程与外部进程通信。

3.2 Linux 平台

• 使用 namespace (用户、网络、挂载) 进行资源隔离。

• 配合 seccomp-bpf 限制系统调用，仅允许白名单 API。

• 基于 chroot 或 pivot_root 限制文件系统可见范围。

3.3 macOS 平台

• 基于 Seatbelt 框架实现应用沙盒，限制文件系统、网络和进程交互。

3.4 沙盒通信机制

Sandbox 本身权限较低，如果需要执行高权限的操作，就需要通过 IPC（进程间通信），委托浏览器进程执行：

• 渲染进程请求访问文件 → 浏览器进程验证后代理操作。

• JavaScript 发起网络请求 → 浏览器进程负责实际 HTTP 发送。

• GPU 进程负责图形加速 → Sandbox 渲染进程通过消息传递共享数据。

3.5 问题

软件工程是平衡的艺术。

Sandbox 带来的除了安全，还有问题。

1. 性能开销：多进程 + IPC 通信会增加系统资源消耗。

2. 兼容性：某些需要系统级 API 的功能可能受限，需要特殊代理。

3. 调试困难：开发者在调试渲染进程时，可能会遇到权限不足的问题。

在 Linux 平台上，Chromium 还采用了 Zygote 进程模型，通过共享额外的内存页，加快 Sandbox 进程的创建。

4. 启发

安全是个看起来很抽象的问题。

但是解决方案一定是具体的。

Chromium 的思路非常清晰，就是：进程隔离 + 权限最小化。

借助进程明确分工，隔离资源，并进一步地将不同进程权限调整到最低，打破权限和风险这对孪生关系。

类似数据库（Database）里角色（Role）和权限（Permission）的概念。

5. 总结

The Rule Of 2 是用来认识安全问题的抽象原则，Sandbox 则是解决安全问题的具体方案。

两者都很重要。

在复杂系统架构中，化繁为简是一种重要的能力。

好的解决办法，一定是基于对问题本身的深刻认识，理解得越深刻，解法越高明。

只不过在 AI 时代，实现一套方案，变得越来越容易，真正困难的是如何提出一个好的问题，以及如何思考和面对。

（完）

参考

1. Chromium Docs - Sandbox🔗
2. Chromium Docs - Sandbox FAQ🔗
3. Chromium Docs - docs/linux/zygote.md🔗
4. 数据库级角色 - SQL Server | Microsoft Learn🔗