Microsoft eXecution Container（MXC）是一种沙箱代码执行系统，旨在Windows、Linux和macOS上运行模型输出、插件和工具等不可信代码。它提供统一的隔离模型，支持多种后端选项，包括操作系统原生沙箱和完整虚拟机，并可通过Rust、.NET和Node SDK访问。MXC使用基于JSON的配置来创建带版本的容器并设置安全策略，可对文件系统、网络和UI访问进行细粒度控制。支持的后端包括Process Container、Windows Sandbox、LXC、Bubblewrap、Seatbelt、MicroVM（Nanvix）、Hyperlight、Isolation Session和WSLC，其中部分标记为实验性功能。该系统通过预配、启动、执行、停止和取消预配的生命周期来部署容器，同时支持一次性和状态感知型工作负载。开发人员需指定容器类型、隔离规则和工作负载命令，MXC会在启动隔离环境之前进行验证。诊断工具可帮助排查访问被拒绝的故障，而审核模式通过记录观察到的访问行为来辅助策略开发，但它会禁用安全防护，不应用于不可信代码。MXC SDK可通过包管理器（crates.io、NuGet、npm）获取，原生执行器wxc-exec.exe则允许在不使用SDK的情况下进行测试或嵌入，但存在一定限制。该平台强调策略驱动的沙箱机制，以在开发工作流程中平衡安全性与可用性。
来源: Hacker News · 由HeadlinesBriefing整理摘要