العزل والحدود

تعمل البرامج دون قيود إلى أن تمرّر خيار عزل. يمنع --sandbox الوصول إلى نظام الملفات؛ ويبقى الوصول إلى الشبكة والعمليات الفرعية مسموحًا إلى أن تسرد مضيفين أو أوامر:

elide --sandbox --allow-read=. --allow-net=example.com run app.js

السماح بالوصول إلى الملفات

elide --allow-read=. --fs-audit run app.js

[elide.fs] allow read open hello.txt
[elide.fs] DENY  write open out.txt

يفشل الوصول الممنوع كما يفشل مع ملف محمي: EACCES: permission denied, open 'hello.txt'. تُحلّ المسارات النسبية من مجلد العمل.

لا تستطيع برامج WASI الوصول إلى مجلدات المضيف إلى أن تربط مجلدًا عبر WasiMapDirs؛ راجع WebAssembly. تنطبق هذه الأذونات على المجلدات المربوطة، ويحتاج فتح ملف في WASI إلى إذنَي القراءة والكتابة معًا.

السماح بالشبكة والعمليات الفرعية

elide --allow-net=localhost --allow-run=ls run app.js

يذكر الاستدعاء الممنوع الإذن الذي يحتاجه:

TypeError: fetch to 'example.com:443' is not permitted; grant it with --allow-net=example.com
Error: spawn of 'echo' is not permitted; grant it with --allow-run=echo

تُبلغ المطابقة مع --deny-* عن denied by --deny-net أو denied by --deny-run. تفحص السياسة الأمر الذي يعمل فعلًا، لذا يُفحص الاستدعاء عبر الصدفة (shell) على أنه sh. شغّل العمليات الفرعية باستخدام execFileSync من node:child_process.

الخيوط والوصول الأصلي

# threads.py
import threading
out = []
t = threading.Thread(target=lambda: out.append("worker ran"))
t.start(); t.join()
print(out[0])

elide python threads.py                                         # worker ran
elide --sandbox --allow-read=. python threads.py                # Creating threads is not allowed.
elide --sandbox --allow-read=. --allow-threads python threads.py  # worker ran

يمنع --no-native الوصول الأصلي. وعندها تفقد Python بعض الميزات، مثل مقابس AF_UNIX (AttributeError: module 'socket' has no attribute 'AF_UNIX') والإشارات الاعتباطية، ويصبح بدء تشغيلها أبطأ. يصرّح --allow-native بالقيمة الافتراضية صراحةً؛ والجمع بينه وبين --no-native خطأ استخدام (رمز الخروج 2).

ضبط الحدود

ينطبق --limit على برامج JavaScript و TypeScript. القيمة رقم، أو 0 للمنع، أو unlimited وهي الافتراضية. وأي أسماء أو لغات أو أوامر أخرى أخطاء استخدام.

elide --limit=workers=4 --limit=fds=128 --max-mem=512m --timeout=30s run app.js

يرث العمّال أذونات العملية الأم. لا تعزل هذه الخيارات العملية عن انهيار أصلي.

اختيار ملف تعريف

ملف التعريف الافتراضي هو --sandbox=trusted. أما --sandbox=sandboxed و --sandbox=isolated فغير متاحين ويخرجان بالرمز 2.

الخيارات

تُفصل عناصر القوائم بفواصل. ويحتاج --deny-net و --deny-run إلى الصيغة ذات =.

أمثلة

• عملية فرعية معزولة
• تحديد عدد العمّال
• حدود الطلبات