cordon run --net=allow -- npm install
cordon run -- bash setup.sh
cordon run --profile python -- pip install -r requirements.txt

# يصل فقط إلى npmjs.org وشبكات CDN الخاصة به — لا شيء آخر
cordon run --net=allow -- npm install

# أضف نطاقًا لمستودع خاص
cordon run --net=allow --domain my.internal.registry -- npm install

# يمنع ptrace، kexec_load، mount، perf_event_open، process_vm_*
cordon run --seccomp basic --net=allow -- npm install

# قائمة سماح صارمة — فقط استدعاءات النظام الآمنة المعروفة
cordon run --seccomp strict -- python3 untrusted.py

git clone https://github.com/LORDv1shnu/Cordon
cd Cordon
bash install.sh        # يبني الإصدار الثنائي → ~/.local/bin/cordon

cargo build --release
cp target/release/cordon ~/.local/bin/

sudo apt install bubblewrap    # Ubuntu/Debian
sudo dnf install bubblewrap    # Fedora
sudo pacman -S bubblewrap      # Arch

cordon scan    # يفحص نظامك مرة واحدة، يستغرق ~30 ثانية، يكتب ~/.config/cordon/system.toml
cordon check   # فحص سريع — يتأكد أن كل شيء جاهز

# الأساسيات
cordon run -- echo "hello"
cordon run --net=allow -- npm install
cordon run --net=allow -- pip install -r requirements.txt
cordon run --net=full -- curl https://example.com   # غير مقيد (بدون تصفية)

# Seccomp
cordon run --seccomp basic --net=allow -- npm install

# تطبيقات واجهة المستخدم الرسومية
cordon run --gui -- code .
cordon run --gui --optional audio_pipewire --optional dbus_session -- discord

# ملفات تعريف مدمجة (مهيأة مسبقًا لبيئات التشغيل الشائعة)
cordon run --profile node -- npm install
cordon run --profile python -- python3 script.py
cordon run --profile rust -- cargo build

# تصحيح ما يتم حظره
cordon run --trace -- node server.js              # غلاف strace، يبلغ عن المسارات المرفوضة
cordon add --from-trace ~/.config/cordon/logs/last-trace.log  # إضافة جماعية للمسارات المفقودة

# حدود الموارد (يحتاج systemd)
cordon run --mem 512M --cpu 2.0 --timeout 60 -- npm install

# تشغيل تجريبي / مطوّل
cordon run --dry-run -- npm install               # اطبع أمر bwrap، لا تشغله
cordon run --verbose -- npm install               # اطبع كل وسيطة bwrap أثناء التشغيل

cordon init                            # يكشف تلقائيًا Cargo.toml / package.json / pyproject.toml
cordon set --net=allow                 # يحفظ الأعلام حتى لا تكتبها كل مرة
cordon add /path/to/assets --mode ro   # يعرض مسارات إضافية داخل الصندوق الرملي
cordon edit                            # يفتح cordon.toml في $EDITOR

cordon check               # فحص صحي: bwrap، مساحات الأسماء، AppArmor، الوحدات
cordon doctor              # أعمق: إصدار النواة، خصوصيات التوزيعة، اقتراحات إصلاح دقيقة
cordon status              # أظهر ما في system.toml الآن
cordon list                # أظهر كل تحميل سيكون نشطًا في التشغيل التالي
cordon log --errors        # ذيل سجل التشغيل الأخير، الأخطاء فقط
cordon syscalls --preset basic   # أظهر ما يمنعه كل إعداد مسبق لـ seccomp

# ملفات تعريف مسماة (مخزنة في ~/.config/cordon/profiles.toml)
cordon profile create ci-node --net=allow --optional ld_so_cache
cordon run --profile ci-node -- npm test

# ملف قفل لبيئات قابلة للتكرار
cordon lock update          # SHA-256 لجميع مسارات التحميل → cordon.lock
cordon lock verify          # تحقق من عدم تغير شيء

# شارك تكوين الصندوق الرملي مع الفريق
cordon export > sandbox.json
cordon import sandbox.json

# الإكمال التلقائي للتبويب
cordon completions zsh > ~/.zfunc/_cordon

# أغلفة شفافة — اجعل "npm" يعمل دائمًا بشكل محصور
cordon wrap npm
cordon wrap pip
npm install                # في الواقع يعمل: cordon run -- npm install "$@"
cordon unwrap npm

# صفحة الدليل
cordon man | man -l -