容器环境中缺少 systemd 有时不是很方便，为了集成度更高，podman 允许这样去启动一个容器，甚至不需要提权。

create_box_init.sh

podman run -it \ --dns "8.8.8.8" \ --network host \ --hostname $1 \ --name $1 \ --user root \ $2 \ /sbin/init

就像启动一个系统一样

红帽在以前的博客也提到了这个，可 详见

尝试过了很多容器方案，如 toolbox、bwrap、systemd-nspawn、docker、以及 Distrobox，发现都各有优势和缺点，像 toolbox 和 distrobox 是比较好上手的一种，但他们因为过于开箱即用默认挂载宿主很多东西（如 home/user ），有时不太好定制，此时我就得从更基础的 podman 开始定制。

先上完整脚本：

create_box.sh

#!/bin/bash xhost +local: PROXY_SOCKET="$XDG_RUNTIME_DIR/podman-bus-proxy" podman run -it \ --dns "8.8.8.8" \ --env DISPLAY="$DISPLAY" \ --env XDG_RUNTIME_DIR="$XDG_RUNTIME_DIR" \ --env PULSE_SERVER="unix:$XDG_RUNTIME_DIR/pulse/native" \ --env DBUS_SESSION_BUS_ADDRESS="unix:path=$PROXY_SOCKET" \ --env XMODIFIERS="@im=fcitx" \ --env QT_IM_MODULE="fcitx" \ --env GTK_IM_MODULE="fcitx" \ --env WAYLAND_DISPLAY=$WAYLAND_DISPLAY \ --volume /tmp/.X11-unix:/tmp/.X11-unix:ro \ --volume /run/dbus/system_bus_socket:/run/dbus/system_bus_socket:ro \ --volume $XDG_RUNTIME_DIR:$XDG_RUNTIME_DIR:z \ --device /dev/kfd:/dev/kfd \ --device /dev/dri:/dev/dri \ --volume /run/udev:/run/udev:ro \ --volume /dev/shm:/dev/shm \ --volume /dev/input:/dev/input:ro \ --volume /etc/resolv.conf:/etc/resolv.conf:ro \ --network host \ --hostname $1 \ --name $1 \ --user root \ --group-add render \ --group-add video \ --group-add input \ --privileged \ --security-opt seccomp=unconfined \ --security-opt label=disable \ --userns=keep-id \ $2 \ /bin/bash

create_proxy.sh

xhost +local: # 1. 在 XDG_RUNTIME_DIR 下生成一个代理 socket 路径 PROXY_SOCKET="$XDG_RUNTIME_DIR/podman-bus-proxy" if [ -e "$PROXY_SOCKET" ]; then echo '已经存在' else # 2. 启动 xdg-dbus-proxy，开启过滤：只放行 fcitx xdg-open 相关的通信，拦截其他所有服务（如 Portal） xdg-dbus-proxy "unix:path=$XDG_RUNTIME_DIR/bus" "$PROXY_SOCKET" \ --filter \ --own=org.fcitx.* \ --talk=org.fcitx.* \ --talk="org.freedesktop.Notifications" \ --call="org.freedesktop.portal.Desktop=org.freedesktop.portal.OpenURI.*@/org/freedesktop/portal/desktop" & PROXY_PID=$! fi

一般我会通过 create_box.sh <容器名> <镜像名> 来创建一个 podman 容器，

再通过 create_proxy.sh 建立一个 $XDG_RUNTIME_DIR/bus 的代理（为什么要这样呢？因为可以自己过滤哪些需要的通信，通常每次进入系统只需要执行一次）

而基础发行版镜像可以随便选，如 ubuntu、fedora、Arch、Debian 随便你，我们都知道 podman 可以使用 docker hub 的镜像，所以你可以直接 podman pull docker.io/library/debian 之类的。

跑完 create_box.sh 后此时就会就可以用这个容器了。你可以在 podman ps -a 可以查看到。

以后管理容器也非常简单：

启动：podman start <容器>

停止：podman stop <容器>

执行程序：podman exec -it <容器> <命令行>

podman 一些基础命令就不细说了，可以自行了解。

下面我们聊以上脚本都干了什么。（其中有很多都是根据自己需求来决定的可选项，并不是必须）

create_box.sh 脚本

(1) 有关 xhost +local:：

允许本地用户（UID 相同或者 root）访问 X server（显示图形界面）。这是 X11 的授权机制。

(2) PROXY_SOCKET="$XDG_RUNTIME_DIR/podman-bus-proxy"：

$XDG_RUNTIME_DIR 通常是 /run/user/1000，是每个用户的运行时目录。 PROXY_SOCKET 我指向了一个自定义的 D-Bus 通信代理，防止容器直接访问宿主的 D-Bus（通常是 /run/user/1000/bus），增加安全性。这里会跟 create_proxy.sh 脚本有联动。

(3) 运行图形应用

通常需要加入 $DISPLAY、$WAYLAND_DISPLAY 变量、透传 /tmp/.X11-unix、以及 $XDG_RUNTIME_DIR、/dev/dri，主要是为了保证容器里的 x11/wayland GUI 能显示在宿主的屏幕上。

这里 /dev/dri 为了用于 GPU 加速

x11 应用通常走 /tmp/.X11-unix

wayland 应用通常是 $XDG_RUNTIME_DIR/wayland-0

这里我整个映射 $XDG_RUNTIME_DIR 主要是为了省事，因为后续还有很多通信需要走这里。

(4) 中文输入法

通常我们需要容器也拥有相关变量，并且在容器内也安装了 fcitx5 框架下，可以在容器内调用宿主的 fcitx5（前提是必须有透传 $XDG_RUNTIME_DIR 相关）

--env XMODIFIERS="@im=fcitx" \ --env QT_IM_MODULE="fcitx" \ --env GTK_IM_MODULE="fcitx" \

(5) 系统级 dbus /run/dbus/system_bus_socket

Linux 下 dbus 有两种通讯方式，一种是 /run/user/1000/bus（当前登录用户的通信）， 还有就是这个 /run/dbus/system_bus_socket，它允许容器访问宿主整个系统范围的的服务通信，如果配合 --privileged 权限非常高。

在容器只需要这样就能控制宿主关机：

busctl --system call \ org.freedesktop.login1 \ /org/freedesktop/login1 \ org.freedesktop.login1.Manager \ PowerOff b true

(6) /dev/kfd

如果你是 amd 的硬件，并且可能需要用到 rocm 之类的东西，这个是必须要的，用于 GPU 计算。

(7) /run/udev

在某些情况下，我们需要读取宿主的设备信息，几乎是必须的。

(8) /dev/shm

用于共享内存，x11 或 浏览器缓存这块很有用。

(9) /dev/input

输入设备（键盘、鼠标、触摸板）等的访问

(10) --network host

使用宿主网络， /etc/resolv.conf ：只是为了 DNS，保证容器可以正常解析域名

(11) PULSE_SERVER 相关

为了能听到声音，必须得把 unix:$XDG_RUNTIME_DIR/pulse/native 弄进容器。

(12) 用户和权限

--user root \ --group-add render \ --group-add video \ --group-add input \ --privileged \ --security-opt seccomp=unconfined \ --security-opt label=disable \ --userns=keep-id \

这里的权限取决于自己的需求。

--user root：容器内使用 root 用户。 --group-add ...：添加 GPU / 视频 / 输入设备访问权限。 --privileged：打开所有权限（几乎等于 root 宿主）。 --security-opt seccomp=unconfined：关闭 seccomp 限制，允许系统调用。 --security-opt label=disable：关闭 SELinux 标签限制。 --userns=keep-id：保持宿主 UID/GID 对应，防止权限错乱。 create_proxy.sh

这个脚本是我最初是为了 启动 D-Bus 代理，限制容器能访问的服务。使用 xdg-dbus-proxy 的方式来实现。

--filter：启用访问控制 --own=org.fcitx.*：允许容器注册和使用 fcitx --talk=org.fcitx.*：允许容器访问 fcitx --talk=org.freedesktop.Notifications：允许容器使用桌面通知功能 --call=org.freedesktop.portal.Desktop=org.freedesktop.portal.OpenURI.*@/org/freedesktop/portal/desktop：允许 xdg-open 调用，通常用于容器应用打开链接时让宿主的浏览器进行目标跳转

最后在每个容器中 /usr/local/bin/xdg-open 我用了自定义的 xdg-open :

#!/bin/bash # 获取 URL 参数 URL="$1" # 检查是否为空 if [ -z "$URL" ]; then echo "Usage: xdg-open <url>" exit 1 fi # 补全协议（如果是 blog.glumi.cn 这种，补全为 http） if [[ ! "$URL" =~ ^[a-zA-Z0-9]+:// ]]; then URL="http://$URL" fi # 核心：通过 D-Bus 调用宿主机的 Portal 接口 # 这里我们使用 busctl，它是 systemd 自带的，通常容器里都有 busctl --user call \ org.freedesktop.portal.Desktop \ /org/freedesktop/portal/desktop \ org.freedesktop.portal.OpenURI \ OpenURI "ssa{sv}" "" "$URL" 0 关于容器应用在宿主桌面上的快捷入口

总是通过命令行启动程序多少会有点麻烦，所以可以将一些容器应用的启动写成 .desktop 文件

通常写在 /usr/share/applications/ 或 ~/.local/share/applications/

[Desktop Entry] Version=1.0 Type=Application StartupWMClass=hello Terminal=false Exec=podman exec ..... Name=Name of Application Icon=/path/to/icon

其中 Exec 是所执行的程序地址（可以包含参数）， Terminal 指明是否在执行一个终端程序， Name 也就是该应用程序的名称， version 版本号，Icon 应用程序图标，StartupWMClass 通常是窗口的类名（有时定位应用很有用，一些桌面环境dock栏识别图标会认这个）

关于 wayland / x11

上面我的脚本采用了两种混用方式，如果 wayland 应用跑不起来，也许你需要在启动程序加入 GDK_BACKEND=x11 变量来回退以 x11 方式启动。

在某些情况下，可能还需要将 $WAYLAND_DISPLAY 变量设置为空

如何从零开始镜像的制作

想要创建一个容器，就首先得有镜像，而镜像怎么来呢，我们可以通过 podman build 的命令去构建基础镜像，

类似这样

podman build -t myapp:base <dockerfile的路径>

这里的 -t myapp:base 是镜像名和标签名，如果你知道 docker 的话，dockerfile 就不展开说了，而 podman 可以兼容 docker 的构建文件（非常强大）。

执行完后接下来在 podman images 就可以发现新增了自己的镜像，这是其中一种镜像导入方式。

已有的容器如何做成镜像（commit）

还有一种可以通过 podman commit 来将已有的容器做成一个新镜像

podman commit <container> <image>:<tag>

执行完后可在 podman images 可以看到

容器 / 镜像的导入导出（export / import 和 save / load ）

那么还有呢？也就是已经导出到本地的镜像，再导入回去，这里又分两种情况。

1）一种情况是只导入 rootfs 但没有任何环境变量、挂载信息、命令启动信息的导入。

也就是通过 podman export <container> -o ./test.tar 命令导出的容器，或自己手动制作的 tar 包，再通过 podman import 的方式去导入

podman import test.tar myimage:base

此时就会多一个新镜像，这里 myimage:base 也是镜像名和标签名的意思。

2）而另一种情况呢，是通过 save / load 去导入导出，这种方式是比较推荐的做法。因为保留了容器/镜像相关的信息（如环境变量、挂载点、命令启动等信息）。

save 保存到本地

podman save -o myimage.tar myimage:base

load 从本地导入

podman load -i myapp_base.tar

这里可以看到 save 的是一个镜像，那么如果想迁移容器，那很简单，配合前面说的 podman commit 来做就好。

只是想获取某个镜像的 rootfs？

有时候想用 podman 将已经下载好的镜像导出文件。我们可以用下面一种方法。

在输入 podman images 时我们可以得知已经下载好的镜像信息，包括镜像id和名称 这里我以导出 fedora 镜像为参考例子，首先基于镜像创建一个临时容器比如叫 tmp (按自己的想法来) 这里我直接指定了镜像名称 fedora:latest，而这里也可以是镜像id

podman create --name tmp fedora:latest

创建容器后，将这个临时的容器在当前目录导出一个叫 rootfs.tar 的压缩包

podman export tmp -o rootfs.tar

此时可以删除临时容器了

podman rm tmp

接下来把 rootfs.tar 进行解压，解压路径自己定。至于为什么需要用到 sudo 是因为像这种 rootfs 可能默认只有 root 用户，如果不提权解压出来的文件可能影响后续使用，只是为了让文件所有者为 root 用户

sudo tar -xf rootfs.tar -C <解压路径>

Linux 桌面有时候需要容器开 GUi，并且和系统深度集成(如：调用宿主输入法、桌面系统通知)，需要给容器传这些文件（其中 -E 为环境变量，--bind 是挂载）：

-E DBUS_SESSION_BUS_ADDRESS="unix:path=/run/user/$UID/bus" --bind="$XDG_RUNTIME_DIR"

但有个问题，文件选择器也会调用宿主的，没办法找容器自己的文件。所以我们需要定制 DBUS_SESSION_BUS_ADDRESS

我使用的是 xdg-dbus-proxy 去解决。

# 1. 在 XDG_RUNTIME_DIR 下生成一个代理 socket 路径 PROXY_SOCKET="$XDG_RUNTIME_DIR/nspawn-bus-proxy" # 2. 启动 xdg-dbus-proxy，开启过滤：只放行 fcitx 相关的通信，拦截其他所有服务（如 Portal），容器一旦无法调用宿主的文件选择器则会开始调用内部的选择器。 xdg-dbus-proxy "unix:path=/run/user/$uid/bus" "$PROXY_SOCKET" \ --filter \ --own=org.fcitx.* \ --talk=org.fcitx.* & PROXY_PID=$! # 3. 确保脚本退出（容器关闭）时，自动清理后台的代理进程和 socket trap "kill $PROXY_PID; rm -f $PROXY_SOCKET" EXIT # 传递的环境变量（这里是 systemd-nspawn 的参数） -E DBUS_SESSION_BUS_ADDRESS="unix:path=$PROXY_SOCKET" \

我使用的是 systemd-nspawn 容器，完整的启动脚本：

#!/bin/bash xhost +local: uid=1000 gid=1000 # 1. 在 XDG_RUNTIME_DIR 下生成一个代理 socket 路径 PROXY_SOCKET="$XDG_RUNTIME_DIR/nspawn-bus-proxy-$$" # 2. 启动 xdg-dbus-proxy，开启过滤：只放行 fcitx 相关的通信，拦截其他所有服务（如 Portal） xdg-dbus-proxy "unix:path=/run/user/$uid/bus" "$PROXY_SOCKET" \ --filter \ --own=org.fcitx.* \ --talk=org.fcitx.* & PROXY_PID=$! # 3. 确保脚本退出（容器关闭）时，自动清理后台的代理进程和 socket trap "kill $PROXY_PID; rm -f $PROXY_SOCKET" EXIT # 4. 启动容器，将容器的 DBUS 地址指向这个“被过滤的”代理 Socket sudo systemd-nspawn \ --hostname="$1" \ --directory="$2" \ -E DISPLAY="$DISPLAY" \ -E LANG="zh_CN.UTF-8" \ -E PULSE_SERVER="unix:/run/user/$uid/pulse/native" \ -E DBUS_SESSION_BUS_ADDRESS="unix:path=$PROXY_SOCKET" \ -E XMODIFIERS="@im=fcitx" \ -E QT_IM_MODULE="fcitx" \ -E GTK_IM_MODULE="fcitx" \ -E INPUT_METHOD="fcitx" \ -E HSA_OVERRIDE_GFX_VERSION="11.5.1" \ -E GLFW_IM_MODULE="fcitx" \ -E SDL_IM_MODULE="fcitx" \ -E XDG_RUNTIME_DIR="$XDG_RUNTIME_DIR" \ -E WAYLAND_DISPLAY=$WAYLAND_DISPLAY \ -E GTK_USE_PORTAL=0 \ --property=AppArmorProfile=unconfined \ --capability="all" \ --bind-ro="/run/dbus/system_bus_socket" \ --bind-ro="/dev/kfd" \ --bind-ro="/dev/dri" \ --bind-ro="/run/udev" \ --bind="/dev/shm" \ --bind-ro="/dev/input" \ --bind="$XDG_RUNTIME_DIR" \ --bind-ro="/etc/resolv.conf" \ -M "$1"

不知道为什么在 VSCodium 和 Code-Server 的扩展商店中始终无法搜索到 Copilot 来安装。后面查到是因为少了相关的仓库。

code-server

编辑 /usr/lib/code-server/lib/vscode/product.json ，将

"linkProtectionTrustedDomains": [ "https://open-vsx.org" ],

修改为：

"linkProtectionTrustedDomains": [ "https://open-vsx.org", "https://marketplace.visualstudio.com" ], "extensionsGallery": { "serviceUrl": "https://marketplace.visualstudio.com/_apis/public/gallery", "cacheUrl": "https://vscode.blob.core.windows.net/gallery/index", "itemUrl": "https://marketplace.visualstudio.com/items", "controlUrl": "", "recommendationsUrl": "" }, vscodium (flatpak)

编辑 /var/lib/flatpak/app/com.vscodium.codium/x86_64/stable/16512056a6ba941a04e341622135fc277f9228352781f2b24923253dc0cdcf8a/files/share/codium/resources/app/product.json

修改内容和 code-server 的一样

提示：x86_64/stable/ 那一串很长的路径根据自己文件的情况来，但我们最终都是要改 product.json ，如果你觉得找起来麻烦，可以尝试 sudo find / -name "product.json" 把整个根目录扫一遍。（当然，我这里默认你是 Linux 平台，如果是别的系统可能会稍微变，但大差不差）