cordon run --net=allow -- npm install
cordon run -- bash setup.sh
cordon run --profile python -- pip install -r requirements.txt

# npmjs.org とその CDN にのみ到達 — それ以外は不可
cordon run --net=allow -- npm install

# プライベートレジストリ用のドメインを追加
cordon run --net=allow --domain my.internal.registry -- npm install

# ptrace、kexec_load、mount、perf_event_open、process_vm_* をブロック
cordon run --seccomp basic --net=allow -- npm install

# 厳格な許可リスト — 既知の安全なシステムコールのみ
cordon run --seccomp strict -- python3 untrusted.py

git clone https://github.com/LORDv1shnu/Cordon
cd Cordon
bash install.sh        # リリースバイナリをビルド → ~/.local/bin/cordon

cargo build --release
cp target/release/cordon ~/.local/bin/

sudo apt install bubblewrap    # Ubuntu/Debian
sudo dnf install bubblewrap    # Fedora
sudo pacman -S bubblewrap      # Arch

cordon scan    # システムを一度スキャン（約30秒）、~/.config/cordon/system.toml を書き込み
cordon check   # 健全性チェック — すべての準備ができていることを確認

# 基本
cordon run -- echo "hello"
cordon run --net=allow -- npm install
cordon run --net=allow -- pip install -r requirements.txt
cordon run --net=full -- curl https://example.com   # 制限なし（フィルタリングなし）

# Seccomp
cordon run --seccomp basic --net=allow -- npm install

# GUI アプリ
cordon run --gui -- code .
cordon run --gui --optional audio_pipewire --optional dbus_session -- discord

# 組み込みプロファイル（一般的なランタイム用に事前設定済み）
cordon run --profile node -- npm install
cordon run --profile python -- python3 script.py
cordon run --profile rust -- cargo build

# ブロックされているものをデバッグ
cordon run --trace -- node server.js              # strace ラッパー、拒否されたパスを報告
cordon add --from-trace ~/.config/cordon/logs/last-trace.log  # 不足しているパスを一括追加

# リソース制限（systemd が必要）
cordon run --mem 512M --cpu 2.0 --timeout 60 -- npm install

# ドライラン / 詳細出力
cordon run --dry-run -- npm install               # bwrap コマンドを表示、実行しない
cordon run --verbose -- npm install               # 実行時に各 bwrap 引数を表示

cordon init                            # Cargo.toml / package.json / pyproject.toml を自動検出
cordon set --net=allow                 # フラグを永続化し、毎回入力しなくて済むようにする
cordon add /path/to/assets --mode ro   # サンドボックス内に追加のパスを公開
cordon edit                            # $EDITOR で cordon.toml を開く

cordon check               # ヘルスチェック: bwrap、名前空間、AppArmor、モジュール
cordon doctor              # より詳細: カーネルバージョン、ディストリの癖、正確な修正提案
cordon status              # system.toml に現在何が入っているかを表示
cordon list                # 次回実行時にアクティブになるすべてのマウントを表示
cordon log --errors        # 最後の実行のログを表示、エラーのみ
cordon syscalls --preset basic   # 各 seccomp プリセットがブロックする内容を表示

# 名前付きプロファイル（~/.config/cordon/profiles.toml に保存）
cordon profile create ci-node --net=allow --optional ld_so_cache
cordon run --profile ci-node -- npm test

# 再現可能な環境用のロックファイル
cordon lock update          # すべてのマウントパスを SHA-256 → cordon.lock
cordon lock verify          # ドリフトがないか確認

# サンドボックス設定をチームと共有
cordon export > sandbox.json
cordon import sandbox.json

# タブ補完
cordon completions zsh > ~/.zfunc/_cordon

# 透過ラッパー — "npm" を常にサンドボックス内で実行するようにする
cordon wrap npm
cordon wrap pip
npm install                # 実際には以下を実行: cordon run -- npm install "$@"
cordon unwrap npm

# マニュアルページ
cordon man | man -l -