浏览器无法启动

[276234199]

镜像20260310：enterprise-public-cn-beijing.cr.volces.com/vefaas-public/all-in-one-sandbox:latest

宿主机：
getenforce：Permissive

browser启动失败
cat /var/log/gem/browser.log

2026-03-10 17:09:13,105 INFO Starting browser...
Failed to move to new namespace: PID namespaces supported, Network namespace supported, but failed: errno = Operation not permitted
[622:622:0310/170913.150023:FATAL:zygote_host_impl_linux.cc(211)] Check failed: . : Invalid argument (22)
[0310/170913.151349:ERROR:process_memory_range.cc(86)] read out of range
[0310/170913.151405:ERROR:elf_image_reader.cc(607)] missing nul-terminator
[666:666:0100/000000.165858:ERROR:zygote_linux.cc(664)] write: Broken pipe (32)

[xyls220]

我也遇到这个问题

宿主机是阿里云ECS

Linux ucpe-resourceip:site 5.10.134-15.2.al8.x86_64 #1 SMP Thu Sep 14 03:42:13 UTC 2023 x86_64 x86_64 x86_64 GNU/Linux

2026-03-12 16:36:22,270 INFO Starting browser...
Failed to move to new namespace: PID namespaces supported, Network namespace supported, but failed: errno = Operation not permitted
[358:358:0312/163622.318089:FATAL:zygote_host_impl_linux.cc(211)] Check failed: . : Operation not permitted (1)
[0312/163622.321669:ERROR:file_io_posix.cc(145)] open /sys/devices/system/cpu/cpu0/cpufreq/scaling_cur_freq: No such file or directory (2)
[0312/163622.321710:ERROR:file_io_posix.cc(145)] open /sys/devices/system/cpu/cpu0/cpufreq/scaling_max_freq: No such file or directory (2)

[Oanakiaja]

Docker 默认的 seccomp 策略拦截了 clone/unshare/chroot 系统调用，Chromium 的内部沙箱（zygote）依赖这些调用创建 namespace，被拦截后崩溃（SIGABRT）。

解决方案

1. 自定义 seccomp profile — 只放开 Chromium 需要的 syscall，其余限制保持（推荐）
云上部署需要配合 VM 做纵深防御

docker run --security-opt seccomp=chromium-seccomp.json <image>

2. 关闭 seccomp — 简单但放开了所有 syscall 限制

docker run --security-opt seccomp=unconfined <image>

3. 禁用 Chromium 内部沙箱 — 不改 Docker 配置，靠容器隔离
不建议, 在沙箱场景容易出现 浏览器漏洞（如 V8 RCE）可直接读写容器内文件系统 拿到沙箱内的文件系统内容

docker run -e BROWSER_EXTRA_ARGS="--no-sandbox" <image>

[xyls220]

Docker 默认的 seccomp 策略拦截了 clone/unshare/chroot 系统调用，Chromium 的内部沙箱（zygote）依赖这些调用创建 namespace，被拦截后崩溃（SIGABRT）。

解决方案

1. 自定义 seccomp profile — 只放开 Chromium 需要的 syscall，其余限制保持（推荐） 云上部署需要配合 VM 做纵深防御

docker run --security-opt seccomp=chromium-seccomp.json
2. 关闭 seccomp — 简单但放开了所有 syscall 限制

docker run --security-opt seccomp=unconfined
3. 禁用 Chromium 内部沙箱 — 不改 Docker 配置，靠容器隔离 不建议, 在沙箱场景容易出现 浏览器漏洞（如 V8 RCE）可直接读写容器内文件系统 拿到沙箱内的文件系统内容

docker run -e BROWSER_EXTRA_ARGS="--no-sandbox"

采用第二种方案。1000 用户名不同，提示没有权限执行 chrome

[xyls220]

@Oanakiaja 您好，采用第二种方案，提示没有权限。

我本机1000 用户的user 名称和和容器中gem不同名