[Bug/设计缺口] workspace-write 的 bwrap user namespace 使 root 属主文件呈现为 nobody：ssh 属主检查静默失败且提权通道无归因入口

[ttbj2023]

环境

• WSL2 Ubuntu 26.04，/usr/bin/bwrap 0.11.1 非 setuid；dsh 0.1.2-rc.1
• 已对照 0.1.5-rc.2 源码（76fda729..c291e796）：下述相关文件零变化，问题仍在线

现象

workspace-write 会话内（danger-full-access 同命令正常——该模式完全绕过 bwrap）：

$ cat /proc/self/uid_map
     1000          0          1
$ ls -ln /usr/lib/systemd/ssh_config.d/20-systemd-ssh-proxy.conf
-rw-r--r-- 1 65534 65534 807 ...    # 属主/组 root→nobody，权限位正常
$ ssh -G <host>
Bad owner or permissions on /etc/ssh/ssh_config.d/20-systemd-ssh-proxy.conf
# exit 255，无任何 [sandbox: ...] 标记

根因

bwrapProfileArgs（packages/sandbox/sandbox-local/src/profiles.ts）不含任何 user namespace 参数；但 bwrap 非 setuid 时创建 mount namespace 必须先创建 user namespace（man bwrap: "the user namespace is required if bwrap is not installed setuid root"），默认单行 uid_map 仅映射当前 uid（bubblewrap.c write_uid_gid_map: "%d %d 1", sandbox_uid, parent_uid）。宿主 root（kuid 0）落无映射区间 → stat 呈现 65534，OpenSSH 要求配置属主为 root 或当前用户 → 检查失败。

即：uid namespace 隔离是 bwrap 非 setuid 形态的隐式副作用，不在 profile 声明中，也不在 mode 词汇表的任何轴上。

为什么提权通道帮不上

bwrap 档 denialSignatures 仅 ['read-only file system']（DENIAL_SIGNATURES，sandbox-local/src/index.ts）；此失败 stderr 不匹配 → denied=false → 无 marker、无 escalation hint（tool-bash/src/render.ts 仅在 denied 时注入）。同时工具描述要求 "Never escalate speculatively: ground the request in a real denial"（tool-bash/src/index.ts）→ 按契约模型无正规入口申请更宽模式。失败在模型视角与"命令自身 bug"不可区分，诱发无谓诊断。

同族影响：git dubious ownership、一切依赖"属主=root 或本人"安全检查的 CLI；--unshare-pid 亦使跨调用进程管理脚本假成功（stop/status 报成功、服务实际存活）。

相关

• Support rootless container toolchains under `workspace-write` #5359 同为 bwrap user namespace 轴（rootless 容器：嵌套 userns 不可用），本帖是其对偶面：宿主属主视图失真 + 失败无归因
• /tmp per-call tmpfs 语义已在 【Bug Report】workspace-write下 bash 的 /tmp 与 fs 工具的 /tmp 不是同一个目录 #3174 报告，不重复

建议（按侵入性递增）

1. 失败归因：对已知环境敏感错误模式（ssh Bad owner or permissions、git dubious ownership）扩展与 denialSignatures/RunnerFailureRule 同构的签名归因，注入类 marker 让模型可识别"这是沙盒引起的"
2. 中间档：文件受限但 uid/进程视图真实（bwrap 不隐式建 userns 的档位），或允许 per-invocation 声明 namespace 需求
3. 文档：README Known Limitations 记录 user namespace / PID namespace / per-call tmpfs 的可见性语义

临时规避

ssh -F ~/.ssh/config <host>（显式 -F 跳过系统配置链的属主检查）；部署类任务改用 danger-full-access 会话。

[szdytom]

沙箱外独立复现（dsh 0.1.5-rc.1，bubblewrap 0.12.0，bwrap 非 setuid、无 file capability）：

bwrap --ro-bind / / --dev /dev --unshare-pid --proc /proc --die-with-parent \
      --tmpfs /tmp --bind "$WS" "$WS" -- \
  sh -c 'cat /proc/self/uid_map; stat -c "%u:%g %n" /etc/ssh/ssh_config.d/20-systemd-ssh-proxy.conf'

     1000          0          1
65534:65534 /etc/ssh/ssh_config.d/20-systemd-ssh-proxy.conf

不套 bwrap 时同一文件是 0:0 root，所以属主失真完全由这套参数产生，与 dsh 进程无关。

影响面不止 ssh，而是「root 拥有的一切」：

65534:65534 /etc/passwd  /etc/hosts  /bin/bash  /usr/bin/bwrap
1000:1000   /home/<user>  /tmp

顺带排除一个方向：bwrap 本身 root:root 755、CapEff=0、非 setuid。

规避的边界：ssh -F /dev/null 也有效，但和 -F ~/.ssh/config 一样只覆盖 ssh，git dubious ownership、sudo、gpg 没有对应写法——这支持你的建议 1。同现象另有 #5558（早 8 天，git push 现场，报错文本一致）。