沙箱隔离方案
输入“/”快速插入内容
沙箱隔离方案
沙箱隔离方案
用户1208用户12085月29日修改
置信度：第二级——官方 Docker 文档 + 已验证的供应商文档阅读时间：约 10 分钟范围：在隔离环境中安全运行 Claude Code
速览
方案 | 隔离级别 | 本地/云端 | 最适合 |
Docker 沙箱 | microVM（虚拟机监控程序） | 本地 | 最高安全性，需要 Docker-in-Docker |
Claude Code 原生沙箱 | 进程（Seatbelt/bubblewrap） | 本地 | 轻量级日常开发，受信任代码 |
Fly.io Sprites | Firecracker microVM | 云端 | API 驱动的智能体工作流 |
E2B | Firecracker microVM | 云端 | 多框架 AI 应用 |
Vercel 沙箱 | Firecracker microVM | 云端 | Next.js / Vercel 生态系统 |
Cloudflare Sandbox SDK | 容器 | 云端 | 基于 Workers 的无服务器架构 |
快速开始：
代码块
docker sandbox run claude ~/my-project
1. 问题：安全自主性
Claude Code 的权限系统可以保护您免受意外操作的影响，但它产生了一个矛盾：
•
--dangerously-skip-permissions 移除所有护栏——Claude 可以不经询问执行 rm -rf、git push --force 或 DROP TABLE。在裸机上，这很危险。
•
权限疲劳——批准每个文件编辑和 shell 命令会拖慢自主工作流。对于大型重构或 CI 流水线，交互式审批是不切实际的。
•
差距：如何在自主且安全的情况下运行 Claude Code？
答案：隔离执行环境。让智能体在沙箱内自由运行，在那里影响范围是受控的。沙箱是安全边界，而非权限系统。
2. 隔离方式
画板
3. Docker 沙箱
Docker 沙箱在您本地机器上以基于 microVM 的隔离运行 AI 编码智能体。每个沙箱有自己独立的 Docker 守护进程和文件系统。沙箱不会出现在 docker ps 中——它们是虚拟机，不是容器。
快速开始
代码块
# 创建并运行带有您项目的沙箱
docker sandbox run claude ~/my-project
# 以自主模式运行（在沙箱内安全）
docker sandbox run claude ~/my-project -- --dangerously-skip-permissions
# 直接传入提示词
docker sandbox run claude ~/my-project -- "将 auth 模块重构为使用 JWT"
# 继续之前的会话
docker sandbox run my-sandbox -- --continue
架构
代码块
┌──────────────────────────────────────────────────────────┐
│ 主机 │
│ │
│ ┌────────────────────────────────────────────────────┐ │
│ │ Docker 沙箱（microVM） │ │
│ │ │ │
│ │ ┌──────────────┐ ┌───────────────────────────┐ │ │
│ │ │ Claude Code │ │ 独立 Docker 守护进程 │ │ │
│ │ │ (--dsp 模式) │ │ （与主机隔离） │ │ │
│ │ └──────────────┘ └───────────────────────────┘ │ │
│ │ │ │
│ │ ┌──────────────────────────────────────────────┐ │ │
│ │ │ 工作区：~/my-project（与主机同步） │ │ │
│ │ │ 与主机相同的绝对路径 │ │ │
│ │ └──────────────────────────────────────────────┘ │ │
│ │ │ │
│ │ 基础环境：Ubuntu、Node.js、Python 3、Go、Git、 │ │
│ │ Docker CLI、GitHub CLI、ripgrep、jq │ │
│ │ 用户：拥有 sudo 权限的非 root 'agent' │ │
│ └────────────────────────────────────────────────────┘ │
│ │
│ 主机 Docker 守护进程：沙箱内不可访问 │
│ 主机文件系统：不可访问（工作区除外） │
└──────────────────────────────────────────────────────────┘