17的朋友圈

陈陈菌博客

如何在 podman 容器内使用 systemd

容器环境中缺少 systemd 有时不是很方便，为了集成度更高，podman 允许这样去启动一个容器，甚至不需要提权。

create_box_init.sh

podman run -it \ --dns...全文

查看原文

2026年06月05日

陈陈菌博客

在 podman 运行 GUI 应用的经验总结

尝试过了很多容器方案，如 toolbox、bwrap、systemd-nspawn、docker、以及 Distrobox，发现都各有优势和缺点，像 toolbox 和 distrobox 是比较好上

...全文

尝试过了很多容器方案，如 toolbox、bwrap、systemd-nspawn、docker、以及 Distrobox，发现都各有优势和缺点，像 toolbox 和 distrobox 是比较好上手的一种，但他们因为过于开箱即用默认挂载宿主很多东西（如 home/user ），有时不太好定制，此时我就得从更基础的 podman 开始定制。

先上完整脚本：

create_box.sh

#!/bin/bash xhost +local: PROXY_SOCKET="$XDG_RUNTIME_DIR/podman-bus-proxy" podman run -it \ --dns "8.8.8.8" \ --env DISPLAY="$DISPLAY" \ --env XDG_RUNTIME_DIR="$XDG_RUNTIME_DIR" \ --env PULSE_SERVER="unix:$XDG_RUNTIME_DIR/pulse/native" \ --env DBUS_SESSION_BUS_ADDRESS="unix:path=$PROXY_SOCKET" \ --env XMODIFIERS="@im=fcitx" \ --env QT_IM_MODULE="fcitx" \ --env GTK_IM_MODULE="fcitx" \ --env WAYLAND_DISPLAY=$WAYLAND_DISPLAY \ --volume /tmp/.X11-unix:/tmp/.X11-unix:ro \ --volume /run/dbus/system_bus_socket:/run/dbus/system_bus_socket:ro \ --volume $XDG_RUNTIME_DIR:$XDG_RUNTIME_DIR:z \ --device /dev/kfd:/dev/kfd \ --device /dev/dri:/dev/dri \ --volume /run/udev:/run/udev:ro \ --volume /dev/shm:/dev/shm \ --volume /dev/input:/dev/input:ro \ --volume /etc/resolv.conf:/etc/resolv.conf:ro \ --network host \ --hostname $1 \ --name $1 \ --user root \ --group-add render \ --group-add video \ --group-add input \ --privileged \ --security-opt seccomp=unconfined \ --security-opt label=disable \ --userns=keep-id \ $2 \ /bin/bash

create_proxy.sh

xhost +local: # 1. 在 XDG_RUNTIME_DIR 下生成一个代理 socket 路径 PROXY_SOCKET="$XDG_RUNTIME_DIR/podman-bus-proxy" if [ -e "$PROXY_SOCKET" ]; then echo '已经存在' else # 2. 启动 xdg-dbus-proxy，开启过滤：只放行 fcitx xdg-open 相关的通信，拦截其他所有服务（如 Portal） xdg-dbus-proxy "unix:path=$XDG_RUNTIME_DIR/bus" "$PROXY_SOCKET" \ --filter \ --own=org.fcitx.* \ --talk=org.fcitx.* \ --talk="org.freedesktop.Notifications" \ --call="org.freedesktop.portal.Desktop=org.freedesktop.portal.OpenURI.*@/org/freedesktop/portal/desktop" & PROXY_PID=$! fi

一般我会通过 create_box.sh <容器名> <镜像名> 来创建一个 podman 容器，

再通过 create_proxy.sh 建立一个 $XDG_RUNTIME_DIR/bus 的代理（为什么要这样呢？因为可以自己过滤哪些需要的通信，通常每次进入系统只需要执行一次）

而基础发行版镜像可以随便选，如 ubuntu、fedora、Arch、Debian 随便你，我们都知道 podman 可以使用 docker hub 的镜像，所以你可以直接 podman pull docker.io/library/debian 之类的。

跑完 create_box.sh 后此时就会就可以用这个容器了。你可以在 podman ps -a 可以查看到。

以后管理容器也非常简单：

启动：podman start <容器>

停止：podman stop <容器>

执行程序：podman exec -it <容器> <命令行>

podman 一些基础命令就不细说了，可以自行了解。

下面我们聊以上脚本都干了什么。（其中有很多都是根据自己需求来决定的可选项，并不是必须）

create_box.sh 脚本

(1) 有关 xhost +local:：

允许本地用户（UID 相同或者 root）访问 X server（显示图形界面）。这是 X11 的授权机制。

(2) PROXY_SOCKET="$XDG_RUNTIME_DIR/podman-bus-proxy"：

$XDG_RUNTIME_DIR 通常是 /run/user/1000，是每个用户的运行时目录。 PROXY_SOCKET 我指向了一个自定义的 D-Bus 通信代理，防止容器直接访问宿主的 D-Bus（通常是 /run/user/1000/bus），增加安全性。这里会跟 create_proxy.sh 脚本有联动。

(3) 运行图形应用

通常需要加入 $DISPLAY、$WAYLAND_DISPLAY 变量、透传 /tmp/.X11-unix、以及 $XDG_RUNTIME_DIR、/dev/dri，主要是为了保证容器里的 x11/wayland GUI 能显示在宿主的屏幕上。

这里 /dev/dri 为了用于 GPU 加速

x11 应用通常走 /tmp/.X11-unix

wayland 应用通常是 $XDG_RUNTIME_DIR/wayland-0

这里我整个映射 $XDG_RUNTIME_DIR 主要是为了省事，因为后续还有很多通信需要走这里。

(4) 中文输入法

通常我们需要容器也拥有相关变量，并且在容器内也安装了 fcitx5 框架下，可以在容器内调用宿主的 fcitx5（前提是必须有透传 $XDG_RUNTIME_DIR 相关）

--env XMODIFIERS="@im=fcitx" \ --env QT_IM_MODULE="fcitx" \ --env GTK_IM_MODULE="fcitx" \

(5) 系统级 dbus /run/dbus/system_bus_socket

Linux 下 dbus 有两种通讯方式，一种是 /run/user/1000/bus（当前登录用户的通信），还有就是这个 /run/dbus/system_bus_socket，它允许容器访问宿主整个系统范围的的服务通信，如果配合 --privileged 权限非常高。

在容器只需要这样就能控制宿主关机：

busctl --system call \ org.freedesktop.login1 \ /org/freedesktop/login1 \ org.freedesktop.login1.Manager \ PowerOff b true

(6) /dev/kfd

如果你是 amd 的硬件，并且可能需要用到 rocm 之类的东西，这个是必须要的，用于 GPU 计算。

(7) /run/udev

在某些情况下，我们需要读取宿主的设备信息，几乎是必须的。

(8) /dev/shm

用于共享内存，x11 或浏览器缓存这块很有用。

(9) /dev/input

输入设备（键盘、鼠标、触摸板）等的访问

(10) --network host

使用宿主网络， /etc/resolv.conf ：只是为了 DNS，保证容器可以正常解析域名

(11) PULSE_SERVER 相关

为了能听到声音，必须得把 unix:$XDG_RUNTIME_DIR/pulse/native 弄进容器。

(12) 用户和权限

--user root \ --group-add render \ --group-add video \ --group-add input \ --privileged \ --security-opt seccomp=unconfined \ --security-opt label=disable \ --userns=keep-id \

这里的权限取决于自己的需求。

--user root：容器内使用 root 用户。 --group-add ...：添加 GPU / 视频 / 输入设备访问权限。 --privileged：打开所有权限（几乎等于 root 宿主）。 --security-opt seccomp=unconfined：关闭 seccomp 限制，允许系统调用。 --security-opt label=disable：关闭 SELinux 标签限制。 --userns=keep-id：保持宿主 UID/GID 对应，防止权限错乱。 create_proxy.sh

这个脚本是我最初是为了启动 D-Bus 代理，限制容器能访问的服务。使用 xdg-dbus-proxy 的方式来实现。

--filter：启用访问控制 --own=org.fcitx.*：允许容器注册和使用 fcitx --talk=org.fcitx.*：允许容器访问 fcitx --talk=org.freedesktop.Notifications：允许容器使用桌面通知功能 --call=org.freedesktop.portal.Desktop=org.freedesktop.portal.OpenURI.*@/org/freedesktop/portal/desktop：允许 xdg-open 调用，通常用于容器应用打开链接时让宿主的浏览器进行目标跳转

最后在每个容器中 /usr/local/bin/xdg-open 我用了自定义的 xdg-open :

#!/bin/bash # 获取 URL 参数 URL="$1" # 检查是否为空 if [ -z "$URL" ]; then echo "Usage: xdg-open <url>" exit 1 fi # 补全协议（如果是 blog.glumi.cn 这种，补全为 http） if [[ ! "$URL" =~ ^[a-zA-Z0-9]+:// ]]; then URL="http://$URL" fi # 核心：通过 D-Bus 调用宿主机的 Portal 接口 # 这里我们使用 busctl，它是 systemd 自带的，通常容器里都有 busctl --user call \ org.freedesktop.portal.Desktop \ /org/freedesktop/portal/desktop \ org.freedesktop.portal.OpenURI \ OpenURI "ssa{sv}" "" "$URL" 0 关于容器应用在宿主桌面上的快捷入口

总是通过命令行启动程序多少会有点麻烦，所以可以将一些容器应用的启动写成 .desktop 文件

通常写在 /usr/share/applications/ 或 ~/.local/share/applications/

[Desktop Entry] Version=1.0 Type=Application StartupWMClass=hello Terminal=false Exec=podman exec ..... Name=Name of Application Icon=/path/to/icon

其中 Exec 是所执行的程序地址（可以包含参数）， Terminal 指明是否在执行一个终端程序， Name 也就是该应用程序的名称， version 版本号，Icon 应用程序图标，StartupWMClass 通常是窗口的类名（有时定位应用很有用，一些桌面环境dock栏识别图标会认这个）

关于 wayland / x11

上面我的脚本采用了两种混用方式，如果 wayland 应用跑不起来，也许你需要在启动程序加入 GDK_BACKEND=x11 变量来回退以 x11 方式启动。

在某些情况下，可能还需要将 $WAYLAND_DISPLAY 变量设置为空

收起

查看原文

2026年06月02日

17

达成喂养偷吃的小鸡 100000g 的成就 🐤

2026年05月31日

17

十一年啦，你们的高中同学还有在联系吗？

2026年05月29日

执意 : 大学要在本地上，否则毕业各自飞，缺少人脉

17 回复执意 : 其实只要玩的好的，哪怕是小学同学都会一直联系，不论什么阶段，有那么几个人相熟就足够了

初然忆 : 有的，🧐还来找我借钱了，点我就能直接跳到文章

17 回复初然忆 : 这、、、有点难蚌，最怕别人找我借钱了，借或不借都很难

obaby : 早已杳无音讯，大学同学都不咋联系

17 回复 obaby : 感觉时间久了不联系，这些关系慢慢就淡了

陈陈菌博客

管理 podman 容器与镜像的导入或导出

如何从零开始镜像的制作

想要创建一个容器，就首先得有镜像，而镜像怎么来呢，我们可以通过 podman build 的命令去构建基础镜像，

类似这样

podman build -t myapp:base &l...全文

如何从零开始镜像的制作

想要创建一个容器，就首先得有镜像，而镜像怎么来呢，我们可以通过 podman build 的命令去构建基础镜像，

类似这样

podman build -t myapp:base <dockerfile的路径>

这里的 -t myapp:base 是镜像名和标签名，如果你知道 docker 的话，dockerfile 就不展开说了，而 podman 可以兼容 docker 的构建文件（非常强大）。

执行完后接下来在 podman images 就可以发现新增了自己的镜像，这是其中一种镜像导入方式。

已有的容器如何做成镜像（commit）

还有一种可以通过 podman commit 来将已有的容器做成一个新镜像

podman commit <container> <image>:<tag>

执行完后可在 podman images 可以看到

容器 / 镜像的导入导出（export / import 和 save / load ）

那么还有呢？也就是已经导出到本地的镜像，再导入回去，这里又分两种情况。

1）一种情况是只导入 rootfs 但没有任何环境变量、挂载信息、命令启动信息的导入。

也就是通过 podman export <container> -o ./test.tar 命令导出的容器，或自己手动制作的 tar 包，再通过 podman import 的方式去导入

podman import test.tar myimage:base

此时就会多一个新镜像，这里 myimage:base 也是镜像名和标签名的意思。

2）而另一种情况呢，是通过 save / load 去导入导出，这种方式是比较推荐的做法。因为保留了容器/镜像相关的信息（如环境变量、挂载点、命令启动等信息）。

save 保存到本地

podman save -o myimage.tar myimage:base

load 从本地导入

podman load -i myapp_base.tar

这里可以看到 save 的是一个镜像，那么如果想迁移容器，那很简单，配合前面说的 podman commit 来做就好。

只是想获取某个镜像的 rootfs？

有时候想用 podman 将已经下载好的镜像导出文件。我们可以用下面一种方法。

在输入 podman images 时我们可以得知已经下载好的镜像信息，包括镜像id和名称这里我以导出 fedora 镜像为参考例子，首先基于镜像创建一个临时容器比如叫 tmp (按自己的想法来) 这里我直接指定了镜像名称 fedora:latest，而这里也可以是镜像id

podman create --name tmp fedora:latest

创建容器后，将这个临时的容器在当前目录导出一个叫 rootfs.tar 的压缩包

podman export tmp -o rootfs.tar

此时可以删除临时容器了

podman rm tmp

接下来把 rootfs.tar 进行解压，解压路径自己定。至于为什么需要用到 sudo 是因为像这种 rootfs 可能默认只有 root 用户，如果不提权解压出来的文件可能影响后续使用，只是为了让文件所有者为 root 用户

sudo tar -xf rootfs.tar -C <解压路径>

收起

查看原文

2026年05月28日

17

翻出来十年前买的手机，感觉不玩游戏都还能用啊🤔

2026年05月27日

17

在五月的早晨，终于丢失了睡眠

2026年05月26日

obaby : 失眠了？

17 回复 obaby : 有点难以入睡，不过凌晨出去走走还真不错

obaby 回复 17 : 这夜景也挺美的

17 回复 obaby : 夜景确实挺美的，不过这座桥被称为牛马桥，对面就是天府软件园

17

又到了交保险的日子，大家觉得保险有必要买吗🤓

2026年05月19日

LiMhy'Blog

当博客开始被 Bot 接管

把后台权限交给 Bot 之后，博客第一次不再只是“我在写”，而是变成了“我在授权、我在判断、我在定义边界”。这不是科幻，是一次很现实的站长实验。

查看原文

2026年05月19日

17

当我开始尝试养乌龟🐢

2026年05月18日

执意 : 博客文章做的像微信朋友圈一样效果啊😄

17 回复执意 : 这个主题就是仿朋友圈风格的嘿嘿😁

Q : 可爱

HJZ的博客

PyHashTool - 文件hash校验程序

PyHashTool 如你所见，PyHashTool 是一个可视化的 Hash 计算工具。它使用 Python3 编写，支持MD ...

查看原文

2026年05月05日

陈陈菌博客

用 xdg-dbus-proxy 解决容器的文件选择器的问题

Linux 桌面有时候需要容器开 GUi，并且和系统深度集成(如：调用宿主输入法、桌面系统通知)，需要给容器传这些文件（其中 -E 为环境变量，--bind 是挂载）：

-E DBUS_SESSION_...全文

Linux 桌面有时候需要容器开 GUi，并且和系统深度集成(如：调用宿主输入法、桌面系统通知)，需要给容器传这些文件（其中 -E 为环境变量，--bind 是挂载）：

-E DBUS_SESSION_BUS_ADDRESS="unix:path=/run/user/$UID/bus" --bind="$XDG_RUNTIME_DIR"

但有个问题，文件选择器也会调用宿主的，没办法找容器自己的文件。所以我们需要定制 DBUS_SESSION_BUS_ADDRESS

我使用的是 xdg-dbus-proxy 去解决。

# 1. 在 XDG_RUNTIME_DIR 下生成一个代理 socket 路径 PROXY_SOCKET="$XDG_RUNTIME_DIR/nspawn-bus-proxy" # 2. 启动 xdg-dbus-proxy，开启过滤：只放行 fcitx 相关的通信，拦截其他所有服务（如 Portal），容器一旦无法调用宿主的文件选择器则会开始调用内部的选择器。 xdg-dbus-proxy "unix:path=/run/user/$uid/bus" "$PROXY_SOCKET" \ --filter \ --own=org.fcitx.* \ --talk=org.fcitx.* & PROXY_PID=$! # 3. 确保脚本退出（容器关闭）时，自动清理后台的代理进程和 socket trap "kill $PROXY_PID; rm -f $PROXY_SOCKET" EXIT # 传递的环境变量（这里是 systemd-nspawn 的参数） -E DBUS_SESSION_BUS_ADDRESS="unix:path=$PROXY_SOCKET" \

我使用的是 systemd-nspawn 容器，完整的启动脚本：

#!/bin/bash xhost +local: uid=1000 gid=1000 # 1. 在 XDG_RUNTIME_DIR 下生成一个代理 socket 路径 PROXY_SOCKET="$XDG_RUNTIME_DIR/nspawn-bus-proxy-$$" # 2. 启动 xdg-dbus-proxy，开启过滤：只放行 fcitx 相关的通信，拦截其他所有服务（如 Portal） xdg-dbus-proxy "unix:path=/run/user/$uid/bus" "$PROXY_SOCKET" \ --filter \ --own=org.fcitx.* \ --talk=org.fcitx.* & PROXY_PID=$! # 3. 确保脚本退出（容器关闭）时，自动清理后台的代理进程和 socket trap "kill $PROXY_PID; rm -f $PROXY_SOCKET" EXIT # 4. 启动容器，将容器的 DBUS 地址指向这个“被过滤的”代理 Socket sudo systemd-nspawn \ --hostname="$1" \ --directory="$2" \ -E DISPLAY="$DISPLAY" \ -E LANG="zh_CN.UTF-8" \ -E PULSE_SERVER="unix:/run/user/$uid/pulse/native" \ -E DBUS_SESSION_BUS_ADDRESS="unix:path=$PROXY_SOCKET" \ -E XMODIFIERS="@im=fcitx" \ -E QT_IM_MODULE="fcitx" \ -E GTK_IM_MODULE="fcitx" \ -E INPUT_METHOD="fcitx" \ -E HSA_OVERRIDE_GFX_VERSION="11.5.1" \ -E GLFW_IM_MODULE="fcitx" \ -E SDL_IM_MODULE="fcitx" \ -E XDG_RUNTIME_DIR="$XDG_RUNTIME_DIR" \ -E WAYLAND_DISPLAY=$WAYLAND_DISPLAY \ -E GTK_USE_PORTAL=0 \ --property=AppArmorProfile=unconfined \ --capability="all" \ --bind-ro="/run/dbus/system_bus_socket" \ --bind-ro="/dev/kfd" \ --bind-ro="/dev/dri" \ --bind-ro="/run/udev" \ --bind="/dev/shm" \ --bind-ro="/dev/input" \ --bind="$XDG_RUNTIME_DIR" \ --bind-ro="/etc/resolv.conf" \ -M "$1"

收起

查看原文

2026年04月14日