WASI 文件系统与沙箱：preopened 目录、能力模型与路径逃逸防护

OS 权限：进程继承父进程的权限，可访问「整个命名空间」，靠系统调用授权
WASI 能力：模块「生而一无所有」，每个能力（打开某个目录/绑定某个端口）都必须被显式授予

WASI 模块启动时：
✗ 没有工作目录
✗ 没有环境变量（除非显式传）
✗ 没有可打开的路径（除非 preopen）
✗ 没有可绑定的端口（除非显式授权）
✓ 只有「stdin/stdout/stderr」这类被明确提供的 fd

# wasmtime 命令行的 --dir
wasmtime run --dir ./data app.wasm
# 模块里看到的路径 = 映射名（见第 7 节虚拟根）

// 宿主代码（Rust，WasiCtx 预打开）
let ctx = WasiCtx::builder()
    .preopened_dir(host_path("/srv/data"), "/data")?   // 宿主 /srv/data → WASM 视角 /data
    .build()?;

preopen 的语义：
□ 暴露「宿主的一个目录」给 WASM 模块
□ 模块持有一个「目录 fd」（capability）
□ 后续所有路径访问都从该 fd 出发（见第 3、5 节）

能力链：
preopen 目录 fd（宿主授予）
  → path_open（在该目录下打开相对路径）
    → 得到子文件/子目录 fd（继承部分权限）
      → 继续 path_open 深入…

关键：每次 path_open 都从「一个已有的 fd」出发
  → 模块能到达的范围 = 它能从持有 fd 出发抵达的范围

WASI Preview2 的 filesystem 接口：
filesystem::open_at(dir_fd, path, ...) → 返回新 fd
  → 以「目录 fd + 相对路径」为唯一寻址方式
  → 无「绝对路径」概念（见第 5 节）

路径标志：
□ readonly / write / append / create / truncate
□ directory（作为目录打开，用于继续向下走）
□ nofollow / follow（符号链接处理，见第 6 节）

fd 权限标志（open_at 时声明）：
□ read / write / append / create / truncate / directory
□ 声明了但宿主不允许 → 运行时拒绝

;; 伪指令示意（WASI Preview2 的 open_at）
;; 以目录 fd 打开 "config.toml"，只读
call $open_at
  (param $dir fd) (param "config.toml")
  (param OPEN_READ)          ;; flags：只要读
  (result (result fd errno))

OS 解析：/srv/data/x → 从根开始，逐段查找（受全局命名空间约束）
WASI 解析：从「持有 fd 的目录」出发，逐段相对查找
  → 没有「根」、没有「绝对路径」、没有「父目录」的全局概念

例：模块持目录 fd（对应宿主 /srv/data）
  可访问：fd 下的 a.txt、b/sub/（逐段相对）
  不可访问：/etc/passwd（无此 fd 也无绝对路径）
            /srv/data/../other（.. 超出 fd 边界 → 拒绝）

逃逸向量 1：绝对路径 → WASI 无「根路径」，无此能力 → 拒绝
逃逸向量 2：路径里有 .. 超过 fd 边界 → 运行时拒绝（能力解析）
逃逸向量 3：符号链接指向外部 → 需显式 follow，且链接目标仍在能力范围
   → nofollow（默认）拒绝跟随链接，或 follow 但目标超范围也拒绝

实现细节（wasmtime 等）：
□ 内部用「capability 感知的路径查找」，实时校验每一段
□ 符号链接跟随前解析目标，检查是否仍在授权范围内
□ 等价于「每次 open 都是一次权限审计」

宿主磁盘：/srv/apps/tenant_a/  /srv/apps/tenant_b/  /srv/shared/

给租户 A 的模块：preopened_dir(/srv/apps/tenant_a, "/") + preopened_dir(/srv/shared, "/shared")
给租户 B 的模块：preopened_dir(/srv/apps/tenant_b, "/") + preopened_dir(/srv/shared, "/shared")

→ 模块看到「自己的 / 」其实是宿主里各自的目录
→ 共享目录各自挂到不同虚拟路径
→ 同一份代码、不同能力 = 不同沙箱

虚拟根的收益：
□ 多租户「同一镜像不同数据」：配置（挂载点）决定隔离
□ 路径不暴露宿主真实布局：内部路径不可预测
□ 迁移宿主目录：只改宿主映射，模块代码不变

互补关系：
WASI 沙箱管「程序内」的能力授权
OS 沙箱管「进程/系统」的隔离边界
→ 生产往往两层都用（WASM 沙箱 + 容器/进程隔离）

陷阱 1：以为模块「能看到整个文件系统」
  → 现象：open /etc/passwd 失败
  → 解决：理解能力模型，用 preopen 显式暴露

陷阱 2：preopen 但没给够权限标志
  → 现象：read/write 报 EPERM（权限不足）
  → 解决：检查 open_at 的 flags 与宿主授权是否匹配

陷阱 3：符号链接跟随导致意外失败
  → 现象：打开「看起来在目录内」的文件被拒
  → 解决：确认链接目标；必要时 follow + 确认目标在授权范围

陷阱 4：把「目录 fd」当「整盘访问」
  → 现象：目录 fd 能触达的东西超出预期
  → 解决：按需最小化 preopen，不要 preopen 到 `/` 或用户主目录

# 排查：先看模块到底拿到了哪些能力
wasmtime run --dir ./data --print-wasi app.wasm
# 报错时看 errno（WASI 错误码）定位是「不存在」还是「权限不足」