2026年7月31日 你的 C 依赖库可能让整个进程崩溃。WebAssembly 可以阻止它。 用容器来隔离单个 C 库未免小题大做。将其编译为 WebAssembly，在 WASI 沙箱中运行，即可实现内存安全、基于权能的文件系统访问和崩溃隔离，无需 Docker。 hardware-assisted-safetysandboxingcwebassembly
2026年6月28日 你的依赖能读取环境变量。JavaScript允许它们这么做 Ambient Authority意味着Node.js进程中的任何代码都能触碰文件系统、网络和运行环境。本文将讲解如何通过lockdown、compartment和显式capability传递来剥除它。 capability-based-securityjavascriptambient-authoritysandboxing
2026年6月26日 你的依赖可以读取磁盘上的任何文件。cap-std 让它们先请求权限。 Rust 的标准库向每个依赖授予隐式的文件系统权限。cap-std 将其替换为基于权能的 API，强制代码在打开路径之前证明它有权访问该路径。 capability-based-securityrustcap-stdsandboxing
