Drop 是一款新的無根 Linux 沙盒工具，利用 gVisor 為本地開發提供隔離的執行環境，且無需傳統容器或虛擬機的配置負擔。它使用 Linux 命名空間和可選的用戶空間內核，在保護開發者生產力的同時抵禦主機內核漏洞。此工具解決了安全隔離與開發生產力之間的常見痛點，因為傳統容器通常會移除必要的本地工具和配置。透過提供輕量且可丟棄的環境，它降低了在軟體開發過程中因第三方依賴項導致系統被入侵的風險。Drop 建立了一個可寫入且可丟棄的主目錄，並掛載選定的設定檔案為唯讀，同時利用使用者、掛載、網路、PID、IPC 和 cgroup 命名空間。可選的 gVisor 元件作為應用程式內核來攔截系統呼叫，增加了抵禦內核漏洞攻擊的安全層。
事件背景
Linux 命名空間是內核的一項功能，用於隔離系統資源，使進程擁有對系統的不同視角（例如獨立的網路介面或處理序 ID）。gVisor 是一個在用戶空間執行的開放原始碼沙盒，它攔截工作負載的系統呼叫而非直接傳遞給主機內核，透過減少攻擊表面來增強安全性。
社群觀察
社群成員指出，雖然許多類似的工具存在，但 Drop 因其對本地開發便利性與 gVisor 整合的關注而脫穎而出。一些使用者對其與 nsjail 和 runc 等工具相比的安全差異表示興趣，而其他人則讚賞其在隔離與生產力之間的平衡能力。
