mount namespace 隔离临时挂载的操作边界

我在给一次性任务准备临时目录时，最容易犯的错是把 unshare -m 当成“整台 Linux 都隔离了”。它真正隔离的是进程看到的挂载视图：新 namespace 通常从当前挂载表复制一份，之后在其中执行的 mount 和 umount 不会默认改动其他 namespace。但传播属性、权限能力和清理方式仍然决定这个边界是否可靠。

mount namespace 真正隔离的对象

Linux 的 mount namespace 为进程提供独立的目录层次视图。它不是一棵空白文件树，而是创建时对原挂载表的副本；所以进入新 namespace 后，通常仍然能看到宿主已有的根文件系统、/proc 和其他挂载。变化发生在“挂载关系”这一层：同一个路径在不同 namespace 中可以指向不同的挂载视图。

要查看当前进程看到的传播状态，可以先看目标路径：

findmnt -o TARGET,FSTYPE,PROPAGATION / /srv/scratch
# 查看根目录和临时挂载点的文件系统类型与传播属性

grep -E ' / | /srv/scratch ' /proc/self/mountinfo
# mountinfo 中的 shared:X、master:X 等字段用于识别传播关系

shared:X 表示挂载属于共享 peer group，master:X 常见于接收传播的 slave 挂载。看到这些标记时，不要只凭“用了 -m”判断隔离已经完成。

用 unshare 建立临时挂载边界

一个只服务于单次任务的最小写法如下。它把挂载点放在专用目录，任务结束前主动卸载；示例是命令结构，是否能执行取决于当前用户的 CAP_SYS_ADMIN、user namespace 策略和目标文件系统权限。

unshare --mount --propagation private sh -c '
  set -eu
  # 专用目录只承担临时挂载点，不把业务目录当成隔离边界
  mkdir -p /srv/scratch
  # tmpfs 只挂到当前 mount namespace 的目标路径
  mount -t tmpfs -o size=64M tmpfs /srv/scratch
  # 这里放需要临时文件系统的任务命令
  printf "%s\\n" "temporary mount is ready"
  # 显式卸载，避免把清理责任完全交给进程退出
  umount /srv/scratch
'
# --propagation private 让新 namespace 内的挂载事件不向外传播

unshare 创建的新 mount namespace 初始仍带着原来的挂载表；--propagation private 处理的是事件传播，不是删除这些已有挂载。若环境不允许直接挂载，先确认权限和 user namespace 是否被系统策略禁用，不要把失败简单归因于目录不存在。

为什么 shared 传播会破坏“临时”预期

在启用 systemd 的常见主机上，许多挂载可能处于 shared 状态。此时子挂载事件有机会沿 peer group 传播。util-linux 的 unshare 默认会在新 mount namespace 中把传播属性设为 private；如果显式使用 --propagation unchanged，就相当于要求保留原状态，必须自己承担检查和隔离责任。

这也是为什么临时任务要把“创建 namespace”和“检查传播属性”视为两件事。可以把目标压缩成下面的清单：

隔离边界之外还要单独处理什么

第一，mount namespace 不会自动改变网络 namespace、PID 视图或用户身份；如果任务还需要这些隔离能力，必须另行设计。第二，能够创建 namespace 不等于一定能挂载任意文件系统，内核能力、user namespace 的所有权和宿主安全策略仍会参与权限判断。第三，namespace 不是长期资源目录的替代品；它适合一次性构建、测试或临时装载，持久化场景应明确保存位置和回收策略。

如果要让 namespace 在创建者退出后继续存在，还需要把 /proc//ns/mnt 持久化到一个合适的 bind mount；这会引入新的生命周期管理，而且持久化路径所在挂载不能处于不合适的 shared 状态。对一次性任务而言，直接在子 shell 中卸载并退出，通常更容易复查。

相关问题

mount namespace 会把目录内容复制一份吗？

不会。它复制的是挂载表和目录层次视图，不是把文件内容复制成独立副本；底层文件系统和权限仍按原有规则工作。

只写 unshare -m 为什么还可能看到挂载传播？

因为隔离视图和传播属性是两个概念。检查目标路径的 PROPAGATION 以及 mountinfo 的 shared:、master: 字段，才能确认事件边界。

临时任务结束后还需要 umount 吗？

建议需要。namespace 没有成员进程后其挂载视图会被回收，但显式卸载能更早释放资源，也能让脚本在退出前暴露清理失败。