匹配实际执行边界
区分原生 Linux、容器、虚拟机与远端主机。记录生效用户、命名空间、防火墙管理权、服务套接字与特权委托。按用户匹配套接字不会自动覆盖身份变化、共享解析器或转发流量。
检查 output、forwarding、NAT、TUN 与已建立连接的行为，不通过清空整机规则简化配置。代理与维护身份应独立于受保护工作负载的拒绝范围。
委托与恢复
不受限的容器套接字、特权辅助程序或主机委托可能绕过预期边界。其他身份的包管理器需单独处理，每个实际执行位置都要核验。
使用已安装管理器支持的限定范围事务和已验证的恢复方案。未知委托或启动路径要明确保留缺口；本页不提供通用 shell 命令。