沙箱Sandbox

提供受限运行环境：代码在操作系统沙箱、容器或虚拟机等受限环境中运行，只能看到被允许的文件、进程和网络资源。

减少宿主机影响：被投毒的依赖或错误命令即使破坏了沙箱，也更难直接读写宿主机的敏感文件。

先限制输入边界：只挂载必要目录、使用假数据并控制网络，比把生产凭证直接传入沙箱更安全。