Function resolve_sandbox_status

tutorials/14_bash_engine_deep_dive.py:221–285

决定最终的沙箱状态 — 源码 sandbox.rs:162-208 这是整个沙箱系统的核心决策函数。它综合考虑: - 请求的隔离级别 - 系统是否支持（Linux + unshare） - 是否在容器中 - 降级原因 关键设计: 即使命名空间不可用，文件系统隔离仍然可以工作。 这就是"优雅降级"——不是全有或全无。

(request: SandboxRequest, cwd: Path)

def resolve_sandbox_status(request: SandboxRequest, cwd: Path) -> SandboxStatus:
    """决定最终的沙箱状态 — 源码 sandbox.rs:162-208

    这是整个沙箱系统的核心决策函数。它综合考虑:
    - 请求的隔离级别
    - 系统是否支持（Linux + unshare）
    - 是否在容器中
    - 降级原因

    关键设计: 即使命名空间不可用，文件系统隔离仍然可以工作。
    这就是"优雅降级"——不是全有或全无。
    """
    container = detect_container_environment()

    # Linux 上是否有 unshare 命令
    is_linux = sys.platform.startswith("linux")
    namespace_supported = is_linux and command_exists("unshare")
    network_supported = namespace_supported  # 网络隔离也依赖 unshare

    # 文件系统隔离不依赖 unshare，任何平台都可以用
    filesystem_active = (
        request.enabled and
        request.filesystem_mode != FilesystemIsolationMode.OFF
    )

    # 收集降级原因
    fallback_reasons = []
    if request.enabled and request.namespace_restrictions and not namespace_supported:
        fallback_reasons.append(
            "namespace isolation unavailable (requires Linux with `unshare`)"
        )
    if request.enabled and request.network_isolation and not network_supported:
        fallback_reasons.append(
            "network isolation unavailable (requires Linux with `unshare`)"
        )
    if (request.enabled
        and request.filesystem_mode == FilesystemIsolationMode.ALLOW_LIST
        and not request.allowed_mounts):
        fallback_reasons.append(
            "filesystem allow-list requested without configured mounts"
        )

    # 最终判断: 沙箱是否真正生效
    active = (
        request.enabled
        and (not request.namespace_restrictions or namespace_supported)
        and (not request.network_isolation or network_supported)
    )

    return SandboxStatus(
        enabled=request.enabled,
        requested=request,
        supported=namespace_supported,
        active=active,
        namespace_supported=namespace_supported,
        namespace_active=request.enabled and request.namespace_restrictions and namespace_supported,
        network_supported=network_supported,
        network_active=request.enabled and request.network_isolation and network_supported,