cordon run --net=allow -- npm install
cordon run -- bash setup.sh
cordon run --profile python -- pip install -r requirements.txt

# 仅能访问 npmjs.org 及其 CDN——其他都不行
cordon run --net=allow -- npm install

# 为私有仓库添加域名
cordon run --net=allow --domain my.internal.registry -- npm install

# 阻止 ptrace、kexec_load、mount、perf_event_open、process_vm_*
cordon run --seccomp basic --net=allow -- npm install

# 严格允许列表——仅允许已知安全的系统调用
cordon run --seccomp strict -- python3 untrusted.py

git clone https://github.com/LORDv1shnu/Cordon
cd Cordon
bash install.sh        # 构建 release 二进制文件 → ~/.local/bin/cordon

cargo build --release
cp target/release/cordon ~/.local/bin/

sudo apt install bubblewrap    # Ubuntu/Debian
sudo dnf install bubblewrap    # Fedora
sudo pacman -S bubblewrap      # Arch

cordon scan    # 扫描你的系统一次，大约需要 30 秒，写入 ~/.config/cordon/system.toml
cordon check   # 完整性检查——确保一切就绪

# 基本用法
cordon run -- echo "hello"
cordon run --net=allow -- npm install
cordon run --net=allow -- pip install -r requirements.txt
cordon run --net=full -- curl https://example.com   # 无限制（不过滤）

# Seccomp
cordon run --seccomp basic --net=allow -- npm install

# GUI 应用
cordon run --gui -- code .
cordon run --gui --optional audio_pipewire --optional dbus_session -- discord

# 内置配置文件（为常见运行时预配置）
cordon run --profile node -- npm install
cordon run --profile python -- python3 script.py
cordon run --profile rust -- cargo build

# 调试被阻止的内容
cordon run --trace -- node server.js              # strace 包装器，报告被拒绝的路径
cordon add --from-trace ~/.config/cordon/logs/last-trace.log  # 批量添加缺失的路径

# 资源限制（需要 systemd）
cordon run --mem 512M --cpu 2.0 --timeout 60 -- npm install

# 干运行 / 详细模式
cordon run --dry-run -- npm install               # 打印 bwrap 命令，但不执行
cordon run --verbose -- npm install               # 运行时打印每个 bwrap 参数

cordon init                            # 自动检测 Cargo.toml / package.json / pyproject.toml
cordon set --net=allow                 # 持久化标志，这样你就不必每次都输入
cordon add /path/to/assets --mode ro   # 将额外的路径暴露到沙箱中
cordon edit                            # 在 $EDITOR 中打开 cordon.toml

cordon check               # 健康检查：bwrap、命名空间、AppArmor、模块
cordon doctor              # 深入：内核版本、发行版怪癖、确切的修复建议
cordon status              # 显示 system.toml 中当前的内容
cordon list                # 显示下次运行时将要激活的所有挂载点
cordon log --errors        # 仅显示上次运行的日志错误
cordon syscalls --preset basic   # 列出每个 seccomp 预设阻止的内容

# 命名配置文件（存储在 ~/.config/cordon/profiles.toml）
cordon profile create ci-node --net=allow --optional ld_so_cache
cordon run --profile ci-node -- npm test

# 用于可重现环境的锁定文件
cordon lock update          # 对所有挂载路径进行 SHA-256 哈希 → cordon.lock
cordon lock verify          # 检查是否有任何偏离

# 与团队共享沙箱配置
cordon export > sandbox.json
cordon import sandbox.json

# Tab 补全
cordon completions zsh > ~/.zfunc/_cordon

# 透明包装器——使 "npm" 始终在沙箱中运行
cordon wrap npm
cordon wrap pip
npm install                # 实际上运行：cordon run -- npm install "$@"
cordon unwrap npm

# 手册页
cordon man | man -l -