Electron: SUID सैंडबॉक्स हेल्पर बाइनरी मिली, लेकिन ठीक से कॉन्फ़िगर नहीं किया गया है

दुर्भाग्य से ऐसा कोई तरीका नहीं है जिससे हम इसे स्वचालित रूप से सही ढंग से कॉन्फ़िगर कर सकें, क्योंकि उपयुक्त अनुमतियों को सेट करने के लिए रूट विशेषाधिकारों की आवश्यकता होती है और हम npm install दौरान रूट पासवर्ड नहीं मांगना चाहते हैं।

आदर्श रूप से, आर्क अपने कर्नेल समर्थन को बिना विशेषाधिकार के CLONE_NEWUSER कॉन्फ़िगर करेगा और क्रोमियम (और इलेक्ट्रॉन) पुराने सेट्यूड सैंडबॉक्स पर निर्भर होने के बजाय नेमस्पेस सैंडबॉक्स का उपयोग कर सकता है। लिनक्स पर वितरित किए जाने वाले ऐप्स को इसे अपनी इंस्टॉल प्रक्रिया में शामिल करना होगा। उदाहरण के लिए https://github.com/electron-userland/electron-installer-debian/pull/184 और https://github.com/electron-userland/electron-installer-redhat/pull/112 देखें।

विकास के दौरान, हमें शायद npm install पर कुछ प्रिंट करना चाहिए, हालांकि निर्देशों के साथ अगर हमें पता चलता है कि नेमस्पेस सैंडबॉक्स उपलब्ध नहीं है।

अरे, सुपर त्वरित प्रतिक्रिया के लिए धन्यवाद!

क्या विशेषाधिकार रहित CLONE_NEWUSER CONFIG_USER_NS=y ? यदि हां, तो वह वर्तमान कॉन्फ़िगरेशन होना चाहिए ।

कृपया मुझे बताएं कि क्या कुछ है जो मैं मदद के लिए कर सकता हूं, या अगर आर्क पर यह अपेक्षित आउटपुट है तो मुझे बंद करने में खुशी हो रही है - मैं समझता हूं कि ब्लीडिंग-एज डिस्ट्रोज़ चलाते समय कुछ जानदार होने की उम्मीद है और मुझे कोई आपत्ति नहीं है इसे PKGBUILD में हल करने के बजाय यह पूरी तरह से सीधे npm से काम करने की अपेक्षा करता है। चीयर्स!

CONFIG_USER_NS=y उपयोगकर्ता नामस्थान सुविधा को सक्षम करता है, लेकिन वे अभी भी डिफ़ॉल्ट रूप से विशेषाधिकार प्राप्त उपयोगकर्ताओं तक ही सीमित हैं। यह सुझाव देता है sysctl kernel.unprivileged_userns_clone=1

क्या इस बीच कोई संभावित समाधान है जब तक कि प्रत्येक linux distro उन सुविधाओं को सक्षम न कर दे?

@kitingChris सेटुइड सैंडबॉक्स वर्कअराउंड है। आपको केवल यह सुनिश्चित करने की आवश्यकता है कि एक इलेक्ट्रॉन ऐप विकसित/जारी करते समय आपकी देव/पैकेजिंग स्क्रिप्ट सैंडबॉक्स हेल्पर की अनुमतियों को सही ढंग से @nornagon के रूप में ऊपर लिंक के रूप में

क्या इस बीच कोई संभावित समाधान है जब तक कि प्रत्येक linux distro उन सुविधाओं को सक्षम न कर दे?

मूल संदेश देखें:

अगर मैं फ़ाइल को chown और chmod करता हूं तो यह ठीक काम करता है

यहां भी देखें https://github.com/electron/electron/issues/16631#issuecomment -476082063 तो सुसाइड सैंडबॉक्स काम करने के लिए आपको मूल रूप से chrome-sandbox बाइनरी को इस तरह से ट्विक करना होगा:

• sudo chown root chrome-sandbox
• chmod 4755 chrome-sandbox

यह समस्या अधिक गंभीर है, हालांकि अगर ऐपिमेज/स्नैप पैकेज चला रहे हैं, तो मैंने अभी तक इन मामलों के लिए एक अच्छा समाधान नहीं बताया है। यह काम कर रहा है अगर ऐपिमेज को --no-sandbox तर्क के साथ निष्पादित किया जाता है, लेकिन यह एक हैक है।

@nornagon

क्योंकि उपयुक्त अनुमतियाँ सेट करने के लिए रूट विशेषाधिकारों की आवश्यकता होती है और हम npm इंस्टाल के दौरान रूट पासवर्ड नहीं माँगना चाहते हैं।

chmod 4755 node_modules/electron/dist/chrome-sandbox को निष्पादित करने के लिए रूट अनुमति की आवश्यकता नहीं होती है और यह ऐप को डेब/पैकमैन/आदि पैकेज में लपेटने के लिए इस तरह के कमांड को चलाने के लिए पर्याप्त होना चाहिए, जब ऐसे पैकेज सामान्य रूप से chrome-sandbox सहित सभी फाइलों को स्थापित करते हैं। जड़ के स्वामित्व में। तो यह बहुत अच्छा होगा कि स्थापना प्रक्रिया के दौरान इलेक्ट्रॉन स्वचालित रूप से chmod 4755 node_modules/electron/dist/chrome-sandbox करता है, तब इस मामले को मैन्युअल रूप से संभालने की कोई आवश्यकता नहीं होगी जैसा कि यहां बताया गया

CONFIG_USER_NS=y उपयोगकर्ता नामस्थान सुविधा को सक्षम करता है, लेकिन वे डिफ़ॉल्ट रूप से अभी भी विशेषाधिकार प्राप्त उपयोगकर्ताओं तक ही सीमित हैं। यह sysctl कर्नेल का सुझाव देता है

मैं पुष्टि करता हूं कि sudo sysctl kernel.unprivileged_userns_clone=1 निष्पादित करना एक और समाधान है, संबंधित टिप्पणी ।

@vladimiry मुझे पहले चामोद की जरूरत थी। दूसरी तरफ यह काम नहीं किया।

@burningTyger आप सही कह रहे हैं , मैंने अभी मूल संदेश बदल दिया है।

@nornagon अगर हम CI पर chmod 4755 out/Release/chrome-sandbox करते हैं तो क्या हम zip यह अनुमति जारी रखेंगे या क्या हमें DL पर अनुमति को ठीक करने के लिए electron-download में यह परिवर्तन करना होगा?

इसे बदलने की क्या आवश्यकता है इसके लिए यहां वही नया बुरा है ... :(

@MarshallOfSound ज़िप अनुमतियों का समर्थन नहीं करता है, लेकिन अंततः मुद्दा chmod अनुमति नहीं है, बल्कि मालिक है। सेटुइड सैंडबॉक्स हेल्पर रूट _ के लिए उपयुक्त है, क्योंकि इसे ऐसे कार्य करने की आवश्यकता है जो केवल रूट के लिए उपलब्ध हैं। यदि पहले रूट विशेषाधिकार प्राप्त किए बिना उपयुक्त अनुमतियां सेट करना संभव था, तो यह लिनक्स में एक बहुत ही गंभीर भेद्यता होगी। सौभाग्य से लिनक्स के लिए, और दुर्भाग्य से हमारे लिए, ऐसा नहीं है।

यहां विकल्प दिए गए हैं जैसे मैं उन्हें देखता हूं:

1. इलेक्ट्रॉन में कुछ भी नहीं बदलें। अनुशंसा करते हैं कि डेवलपर्स अपने कर्नेल पर अनपेक्षित CLONE_USERNS को सक्षम करें ताकि सेट्यूड सैंडबॉक्स के बजाय नेमस्पेस सैंडबॉक्स को चलने दिया जा सके।
2. सैंडबॉक्स के बिना बूट करें यदि कोई सैंडबॉक्सिंग विधि उपलब्ध नहीं है _केवल एक अनपैक्ड ऐप को बूट करते समय_। यदि इलेक्ट्रॉन एक पैकेज्ड ऐप को बूट कर रहा है, तो सैंडबॉक्स के बिना बूट करने से मना कर दें।
3. सभी मामलों में, यदि कोई सैंडबॉक्सिंग विधि उपलब्ध नहीं है, तो सैंडबॉक्सिंग के बिना बूट करें और एक चेतावनी प्रिंट करें।
4. Linux पर डिफ़ॉल्ट रूप से सैंडबॉक्सिंग अक्षम करें.

मैं (2) की ओर झुक रहा हूँ। यह तैनात ऐप की सुरक्षा से समझौता किए बिना विकास को आसान बनाएगा।

मुझे अभी तक पता नहीं है कि स्नैप/फ्लैटपैक के बारे में क्या करना है, क्योंकि मैं उनके कामकाज से परिचित नहीं हूं। यह संभव है कि वे पहले से ही ऐप को पर्याप्त रूप से सैंडबॉक्स कर दें कि हम उस स्थिति में सैंडबॉक्सिंग को पूरी तरह से अक्षम कर सकें, जैसा कि हम इलेक्ट्रॉन के मैक ऐप स्टोर संस्करण का निर्माण करते समय करते हैं।

अभी के लिए, मुझे पहला विकल्प अधिक पसंद है।

1. सैंडबॉक्स के बिना बूट करें यदि कोई सैंडबॉक्सिंग विधि केवल अनपैक्ड ऐप को बूट करते समय उपलब्ध नहीं है। यदि इलेक्ट्रॉन एक पैकेज्ड ऐप को बूट कर रहा है, तो सैंडबॉक्स के बिना बूट करने से मना कर दें।

ऐसा परिदृश्य किसी तरह भ्रामक होगा। हो सकता है कि कोई सैंडबॉक्सिंग के बिना अनपैक्ड ऐप को सफलतापूर्वक चला रहा हो, लेकिन एक मौका है कि पैकेज्ड ऐप सक्षम सैंडबॉक्सिंग के साथ उसी तरह काम नहीं करेगा। जैसे, उदाहरण के लिए, जब आप मुख्य प्रक्रिया को रेंडरर प्रक्रिया से एक्सेस करते हैं, न कि remote इंटरफ़ेस के माध्यम से। या ऐप को ऐप इमेज/स्नैप/फ्लैटपैक पैकेज में लपेटने का मामला।

1. सभी मामलों में, यदि कोई सैंडबॉक्सिंग विधि उपलब्ध नहीं है, तो सैंडबॉक्सिंग के बिना बूट करें और एक चेतावनी प्रिंट करें।

इसलिए एक पैकेज्ड ऐप जिसे सैंडबॉक्स के रूप में डिज़ाइन और विकसित किया गया था, सैंडबॉक्स के बिना निष्पादित किया जा सकता है यदि कोई सैंडबॉक्स उपलब्ध नहीं है। यह मुझे अच्छा नहीं लगता।

1. Linux पर डिफ़ॉल्ट रूप से सैंडबॉक्सिंग अक्षम करें.

इसका क्या मतलब है? यदि कोई सैंडबॉक्सिंग उपलब्ध नहीं है (मौजूदा स्थिति, मजबूर सैंडबॉक्सिंग) तो जिस तरह से ऐप या तो शुरू होता है या विफल हो जाता है, उस तरह से लिनक्स पर सैंडबॉक्सिंग को सक्षम करने का तरीका क्या होगा।

मुझे (1) भी पसंद है, लेकिन (2) थोड़ा बचाव करने के लिए, ऐप के संपर्क में आने वाला एपीआई सैंडबॉक्स को अक्षम करते समय नहीं बदलेगा। केवल एक चीज जिसे हम अक्षम करेंगे, वह है OS-स्तरीय सैंडबॉक्स। हम अभी भी ऐप को उसी तरह लोड करेंगे, यह ओएस द्वारा संरक्षित नहीं होगा।

हम अभी भी ऐप को उसी तरह लोड करेंगे, यह ओएस द्वारा संरक्षित नहीं होगा।

तब मुझे भी अच्छा लगता है। स्पष्टीकरण के लिए धन्यवाद।

मुझे 2 पसंद नहीं है, क्योंकि वैकल्पिक सुरक्षा आमतौर पर सुरक्षा को अक्षम करने वाले लोगों की ओर ले जाती है।

अब "बेवकूफ उपयोगकर्ता" जूते में कदम रखते हुए, मैं डिफ़ॉल्ट रूप से इलेक्ट्रॉन को काम करते हुए देखूंगा। यदि यह एक बहुत ही महत्वपूर्ण सुरक्षा उपाय है, तो मुझे एक चेतावनी और एक अच्छी व्याख्या दें कि मुझे अतिरिक्त कार्य करने की आवश्यकता क्यों है। यदि यह इतना महत्वपूर्ण नहीं है, तो मुझे खराब "यह काम नहीं करता" स्वाद न दें।

इस वजह से, मुझे 1 पसंद है (एक बल के साथ छोड़ दिया, अब की तरह) या 4।

:x: chown root:root chrome-sandbox && chmod 4755 chrome-sandbox मेरे लिए कुछ लाल झंडे उठाता है।

यह क्या करता है इस पर बहुत स्पष्ट होने के लिए: यह SUID बिट को chrome-sandbox पर सेट करता है, जो _any user_ फ़ाइल को _as root_ निष्पादित करने में सक्षम बनाता है। इसका मतलब यह है कि यदि chrome-sandbox दुर्भावनापूर्ण तरीके से उपयोग करने का कोई तरीका है, या यदि सामग्री कभी भी दुर्भावनापूर्ण हो जाती है, तो कोई भी उपयोगकर्ता रूट हो सकता है। chrome-sandbox हमले के लिए एक बहुत ही दिलचस्प लक्ष्य होगा।

मैं इस वर्कअराउंड को npm install पर करने के खिलाफ दृढ़ता से अनुशंसा करता हूं, क्योंकि इसके लिए sudo (उपयोगकर्ता को पासवर्ड लिखने की आवश्यकता होगी) की आवश्यकता होगी, यह आक्रामक है और हम ऐसा करने के सुरक्षा परिणामों को नहीं समझ सकते हैं।

चाउन रूट: रूट क्रोम-सैंडबॉक्स && chmod 4755 क्रोम-सैंडबॉक्स मेरे लिए कुछ लाल झंडे उठाता है।

बिलकुल यह करता है। लेकिन आप वैकल्पिक sudo sysctl kernel.unprivileged_userns_clone=1 रूप में उपयोगकर्ता नामस्थान सैंडबॉक्सिंग को सक्षम कर सकते हैं (उबंटू पर डिफ़ॉल्ट रूप से सक्षम लेकिन आर्क पर नहीं)।

यह क्या करता है इसके बारे में बहुत स्पष्ट होने के लिए: यह SUID बिट को chrome-sandbox पर सेट करता है, जो _any user_ फ़ाइल को _as root_ निष्पादित करने में सक्षम बनाता है। इसका मतलब यह है कि यदि chrome-sandbox दुर्भावनापूर्ण तरीके से उपयोग करने का कोई तरीका है, या यदि सामग्री कभी भी दुर्भावनापूर्ण हो जाती है, तो कोई भी उपयोगकर्ता रूट हो सकता है। chrome-sandbox हमले के लिए एक बहुत ही दिलचस्प लक्ष्य होगा।

हां, लेकिन यह बाइनरी भी वही है जो क्रोम के साथ आता है, इसलिए यदि आप इसके बारे में चिंतित हैं तो आपको शायद क्रोम को अनइंस्टॉल करना चाहिए :)

क्या "सैंडबॉक्स हेल्पर" के बिना सैंडबॉक्स/रन के बिना चलने का कोई तरीका है? शिकायत करने वाले पहले उपयोगकर्ता मिले
मुझे उम्मीद थी कि यह सैंडबॉक्स को अक्षम कर देगा, लेकिन फिर भी The SUID sandbox helper binary was found, but is not configured correctly त्रुटि प्राप्त करें।
मैं इलेक्ट्रॉन 4.x . में वापस रोल करने से नफरत करूंगा

त्रुटि संदेश

Snapcraft समीक्षा और suid

मैंने chrome-sandbox पर सुसाइड फ्लैग के साथ एक स्नैप अपलोड करने की कोशिश की, लेकिन स्नैपक्राफ्ट की समीक्षा प्रक्रिया ने सुसाइड फ्लैग के उपयोग को मना किया।

The store was unable to accept this snap.
  - checksums do not match. Please ensure the snap is created with either 'snapcraft pack <DIR>' (using snapcraft >= 2.38) or 'mksquashfs <dir> <snap> -noappend -comp xz -all-root -no-xattrs -no-fragments'. If using electron-builder, please upgrade to latest stable (>= 20.14.7). See https://forum.snapcraft.io/t/automated-reviews-and-snapcraft-2-38/4982/17 for details.
  - found errors in file output: unusual mode 'rwsr-xr-x' for entry './chrome-sandbox'

@thomasnordquist OS-स्तरीय सैंडबॉक्सिंग को अक्षम करने के लिए --no-sandbox को ऐप तर्क के रूप में पारित करने की आवश्यकता है, अर्थात app.commandLine.appendSwitch पर्याप्त नहीं होगा। स्नैप पैकेज के संबंध में, आप यहां वर्णित प्लग को जोड़ने का प्रयास कर सकते हैं। सुनिश्चित नहीं है कि इससे मदद मिलेगी क्योंकि मैंने अभी तक इसकी कोशिश नहीं की है, अगर आप ऐसा करते हैं तो बहुत अच्छा होगा। अभी के लिए मैं उस ऐप को रिलीज़ करना पसंद करता हूं जिसे मैं मिश्रित मोड में बना रहा हूं: मुस्कान:। एपइमेज और स्नैप को छोड़कर सभी पैकेजों के लिए इलेक्ट्रॉन v5 का उपयोग किया जाता है क्योंकि यह अभी तक पूरी तरह से स्पष्ट नहीं है कि इन पैकेजों को सैंडबॉक्सिंग सक्षम के साथ कैसे अच्छी तरह से काम करना है, लेकिन यह कुछ बिंदु पर स्पष्ट होने जा रहा है।

यदि Snapcraft सुसाइड फ्लैग को मना करता है तो संभवतः एकमात्र विकल्प है कि इलेक्ट्रॉन की सैंडबॉक्सिंग को पूरी तरह से Snapcraft में अक्षम कर दिया जाए और Snapcraft द्वारा उपयोग किए जाने वाले कंटेनर पर भरोसा किया जाए। मुझे यकीन नहीं है कि ऐसा करने का सबसे अच्छा तरीका क्या है - क्या Snapcraft के माध्यम से पैकेजिंग करते समय अतिरिक्त कमांड-लाइन फ़्लैग निर्दिष्ट करना संभव है? यदि ऐसा है, तो हम --no-sandbox ध्वज जोड़ सकते हैं। यदि नहीं, तो हमें Snapcraft/Flatpak में चल रहे पता लगाने और उस पहचान के आधार पर सैंडबॉक्सिंग को अक्षम करने के लिए कुछ विशिष्ट पहचान तंत्र जोड़ने की आवश्यकता हो सकती है।

स्नैप से संबंधित कुछ दस्तावेज https://docs.snapcraft.io/browser-support-interface

@ posix4e क्या आप उपयोगकर्ता नाम स्थान और SUID सैंडबॉक्स/फ़ॉलबैक मोड दोनों में सैंडबॉक्स वाले स्नैप पैकेज चलाने के मुद्दे पर कुछ प्रकाश

यह क्या करता है इसके बारे में बहुत स्पष्ट होने के लिए: यह SUID बिट को chrome-sandbox पर सेट करता है, जो _any user_ फ़ाइल को _as root_ निष्पादित करने में सक्षम बनाता है। इसका मतलब यह है कि यदि chrome-sandbox दुर्भावनापूर्ण तरीके से उपयोग करने का कोई तरीका है, या यदि सामग्री कभी भी दुर्भावनापूर्ण हो जाती है, तो कोई भी उपयोगकर्ता रूट हो सकता है। chrome-sandbox हमले के लिए एक बहुत ही दिलचस्प लक्ष्य होगा।

हां, लेकिन यह बाइनरी भी वही है जो क्रोम के साथ आता है, इसलिए यदि आप इसके बारे में चिंतित हैं तो आपको शायद क्रोम को अनइंस्टॉल करना चाहिए :)

मैं क्रोम से बाइनरी को SUID सेट के साथ root:root देने के बारे में आंशिक रूप से चिंतित हूं, हां। बहुत कम कोड बग के बिना है। रिकॉर्ड के लिए यहां स्रोत कोड है: https://github.com/chromium/chromium/tree/master/sandbox/linux/suid

लेकिन मैं अधिक चिंतित हूं अगर npm install होगा:

1. ऑन-द-फ्लाई सॉफ़्टवेयर का एक गुच्छा डाउनलोड करें।
2. root:root और SUID फ़ाइलों में से एक को स्वचालित रूप से बनाएं।

मुझे लगता है कि यह पहला सॉफ़्टवेयर स्टैक होगा जिसके बारे में मुझे पता है कि गैर-रूट उपयोगकर्ता के स्वामित्व वाली फ़ाइल पर स्वचालित रूप से sudo chown root:root && sudo chmod 4755 होता है।

एनपीएम इंस्टॉल पर sudo chown root:root && sudo chmod 475 करना सवाल से बाहर होना चाहिए, एनपीएम को अनुमतियों को सेट करने के लिए रूट के रूप में चलाने की आवश्यकता होगी। एनपीएम का हुक मॉडल सभी स्थापित पैकेजों को रूट के रूप में भी अपने हुक चलाने की अनुमति देगा। संभवतः सैकड़ों पैकेज और नेस्टेड निर्भरता के साथ, यह बहुत खतरनाक होगा।

एक sudo chown root:root && sudo chmod 475 npm install पर करना सवाल से बाहर होना चाहिए

जहां तक ​​मैं समझता हूं, इसे एक विकल्प के रूप में नहीं माना जाता है।

मैं सहमत हूं कि एनपीएम इंस्टॉल के दौरान रूट विशेषाधिकारों की आवश्यकता वाले कुछ भी करना एक गैर-स्टार्टर है। यही कारण है कि मैंने इसे विकल्पों में से

इसके लायक क्या है, electron-installer-debian 1.2.0, electron-installer-redhat 1.1.0, और electron-installer-snap 3.2.0 SUID सैंडबॉक्स परिवर्तनों के साथ जारी किए गए हैं। इलेक्ट्रॉन फोर्ज v5 और v6 बीटा को भी संक्रमणीय रूप से अपडेट किया जाना चाहिए (इन-रेंज संस्करण अपडेट के माध्यम से, npm update या yarn upgrade उचित रूप से उपयोग करें)।

स्पष्टता के लिए बस

स्पष्ट होने के लिए, स्नैप्स के लिए इसमें और भी बहुत कुछ था (अर्थात्, ऊपर बताए अनुसार ब्राउज़र सैंडबॉक्स समर्थन जोड़ना)। विवरण के लिए संबंधित पीआर के परिवर्तन देखें।

मैंने अभी इसे मारा, चाउन/चामोद काम करता है, लेकिन यदि आप डॉकर छवि के अंदर चल रहे हैं तो यह एकमात्र आवश्यक कार्रवाई नहीं है।

यदि आप ऐसा करते हैं, तो आपको एक और त्रुटि प्राप्त होगी:

Failed to move to new namespace: PID namespaces supported, Network namespace supported, but failed: errno = Operation not permitted

इसके लिए फिक्स --privileged को docker run कमांड में जोड़ना है। मुझे नहीं लगता कि यह एक अच्छा समाधान है, मुख्यतः सीआई पर।

@JCMais ऐसा लगता है जैसे इलेक्ट्रॉन गलत तरीके से --disable-namespace-sandbox साथ बाध्य कर सकते हैं। यदि आप --privileged (या --cap-add SYS_ADMIN , या एक कस्टम seccomp प्रोफ़ाइल जो CLONE_NEWUSER की अनुमति देता है) के साथ डॉकर लॉन्च करते हैं, तो नामस्थान सैंडबॉक्स के अंदर उपलब्ध होंगे और सेट्यूड सैंडबॉक्स या इसके सहायक निष्पादन योग्य की कोई आवश्यकता नहीं है .

@thomasnordquist की तरह मैं अब प्रीलोड स्क्रिप्ट का उपयोग करके Snap/AppImage पैकेज के लिए सैंडबॉक्सिंग को अक्षम करने के लिए समाप्त हुआ। आप मूल बाइनरी के रूप में नामित प्रीलोड-जैसी श स्क्रिप्ट बनाते हैं जो तब --no-sandbox तर्क के साथ नामित/मूल इलेक्ट्रॉन बाइनरी लोड करने के लिए उपयोग की जाती है। इलेक्ट्रॉन-बिल्डर की after-pack स्क्रिप्ट में करना सुविधाजनक है

@nornagon वास्तव में मुझे इस ध्वज को इलेक्ट्रॉन को कैसे पास करना चाहिए? मैंने सिर्फ --disable-namespace-sandbox जोड़ने की कोशिश की लेकिन यह मुझे एक त्रुटि दे रहा है:

:~$ electron --disable-namespace-sandbox
Failed to move to new namespace: PID namespaces supported, Network namespace supported, but failed: errno = Operation not permitted

पुष्टि कर सकता हूं कि इसने मुझे स्नैप में नियुक्त किया और हमारे सभी लिनक्स उपयोगकर्ता पुराने संस्करण पर अटके हुए हैं जब तक कि मैं इसका समाधान नहीं कर सकता।

मैं पूरी तरह से सुरक्षा में सुधार करने के तरीके के लिए हूं लेकिन इसे बंद करने के लिए फीचर फ्लैग के बिना भेज दिया गया था।

मैं यह भी तर्क देना चाहूंगा कि इसे कोड के माध्यम से अक्षम करने की सुविधा के बिना इसे शिप नहीं किया जाना चाहिए था। मुझे लगता है कि शायद यह आकस्मिक था क्योंकि --no-sandbox तब तक काम नहीं करता जब तक कि मैन्युअल रूप से कमांड लाइन से नहीं दिया जाता।

अगर electron-installer-snap ने सैंडबॉक्स समर्थन को कैसे लागू किया है, इसमें कुछ गड़बड़ है, तो कृपया मुझे इसके इश्यू ट्रैकर में बताएं।

यदि इलेक्ट्रॉन-इंस्टॉलर-स्नैप ने सैंडबॉक्स समर्थन को कैसे लागू किया है, तो इसमें कुछ गड़बड़ है, कृपया मुझे इसके इश्यू ट्रैकर में बताएं।

मैं यह भी सुनना चाहता हूं कि कोई यह पुष्टि करता है कि स्नैप पैकेज के साथ समस्या से निपटने के लिए परिवर्तन पर्याप्त है। इसलिए सकारात्मक/नकारात्मक दोनों तरह की प्रतिक्रियाओं का स्वागत है। संबंधित जानकारी देखें।

@vladimiry मैंने आगे बढ़कर इसका परीक्षण किया और यह काम नहीं किया।

मुझे ऐसे समाधान की आवश्यकता है जो ओएस पैच, sysctl, या रीबूट के आसपास हल न हो। मुझे कुछ ऐसा चाहिए जो अभी काम करे। --नो-सैंडबॉक्स को प्राथमिकता दी जाएगी।

यह मेरे लिए अधिक उपयोगी होगा यदि कोई न्यूनतम इलेक्ट्रॉन ऐप प्रदान कर सकता है जिसका उपयोग मैं गैर-कार्यशील पैकेज्ड स्नैप को पुन: पेश करने के लिए कर सकता हूं। मैंने सर्किलसीआई में एक स्नैप बनाने के लिए electron-quick-start का

"काम नहीं किया" मुझे यह तय करने में मदद नहीं करता है कि मैं electron-installer-snap में क्या कर सकता हूं ताकि इसे दूसरों के लिए सही तरीके से पैकेज किया जा सके।

@burtonator , सामान का परीक्षण करने के लिए धन्यवाद। जहां तक ​​​​मुझे पता है, स्नैप/ऐप इमेज बिल्ड लोडर-जैसी बैश/श स्क्रिप्ट में पैक किया गया है जो मूल बाइनरी/इलेक्ट्रॉन को --no-sandbox cmd तर्क के साथ शुरू करता है, जो अभी के लिए एकमात्र सत्यापित समाधान है।

@malept सामान का परीक्षण करने से पहले sudo sysctl kernel.unprivileged_userns_clone=0 निष्पादित करके उपयोगकर्ता नामस्थान ओएस सुविधा को अक्षम करने की आवश्यकता है।

@vladimiry हाँ, मेरे लैपटॉप में पहले से ही उपयोगकर्ता सेटिंग है।

अगर कोई इस समाधान की तलाश में है तो @thomasnordquist के समाधान या इसके मेरे अनुकूलन की जांच करें, वे लिनक्स के तहत सैंडबॉक्स को अक्षम करके काम करते हैं।

@fabiospampinato आपका अनुकूलन सभी लिनक्स पैकेज प्रकारों के लिए सैंडबॉक्स को निष्क्रिय कर देता है लेकिन कम से कम DEB और Pacman पैकेज SUID सैंडबॉक्स (शायद सभी कंटेनर जैसे पैकेज नहीं) के साथ अच्छी तरह से काम करते हैं, बस SUID अनुमति बिट को chrome-sandbox पर सेट करने की आवश्यकता है संबंधित कोड प्राप्त करता है ।

CONFIG_USER_NS=y उपयोगकर्ता नामस्थान सुविधा को सक्षम करता है, लेकिन वे डिफ़ॉल्ट रूप से अभी भी विशेषाधिकार प्राप्त उपयोगकर्ताओं तक ही सीमित हैं। यह sysctl कर्नेल का सुझाव देता है

मैं पुष्टि करता हूं कि sudo sysctl kernel.unprivileged_userns_clone=1 निष्पादित करना एक और समाधान है, संबंधित टिप्पणी ।

धन्यवाद दोस्त, मेरे लिए काम कर रहा है! @व्लादिमिर्य

क्या आप लोग जानते हैं कि क्या यह अब 5.0.2 के साथ काम करता है?

@ p3x-robot चैंज में इस मुद्दे का कोई उल्लेख नहीं है। सुनिश्चित करने के लिए बस जाँच की गई और त्रुटि अभी भी मेरे लिए है।

@rybaczewa प्रतिक्रिया के लिए धन्यवाद, मैं v4 पर भी रहता हूं, क्योंकि यह एक बड़ा मुद्दा है, जब तक v5 काम नहीं कर रहा है, तब तक इंतजार नहीं कर सकता, सियाओ

v5 काम कर रहा है जब तक इंतजार नहीं कर सकता

v5 काम कर रहा है

इस सूत्र में लोगों के लिए स्पष्ट होने के लिए @p3x-robot @rybaczewa इस मुद्दे को सूचनात्मक / डाउनस्ट्रीम उद्देश्यों के लिए खुला छोड़ दिया गया है। इलेक्ट्रॉन स्वयं अपेक्षा के अनुरूप काम कर रहा है और हमारे लिए "ठीक" करने के लिए यहां कुछ भी नहीं है।

यदि आप यह लॉग संदेश देख रहे हैं तो आपको या तो sudo sysctl kernel.unprivileged_userns_clone=1 चलाने की जरूरत है या chrome_sandbox बाइनरी को त्रुटि संदेश में उल्लिखित सही अनुमतियां देने की आवश्यकता है।

@vladimiry @MarshallOfSound आप क्यों कह रहे हैं यह तय हो गई है? स्नैप में, मैं अपने ऐप्स P3X Redis और P3X Onenote को न तो sudo sysctl kernel.unprivileged_userns_clone=1 इंस्टॉल कर सकता हूं और न ही chrome_sandbox v5.0.x दे सकता हूं। मैं केवल v4.xx . के साथ स्थापित कर सकता हूं

आपको लगता है कि कोई उपयोगकर्ता sudo का उपयोग करना चाहेगा? वे सोचेंगे कि यह प्रोग्राम खराब है और वे ऐप को अनइंस्टॉल कर देंगे।
v5 संस्करण या v6 या v7 सही काम नहीं कर रहे हैं, इसलिए यह एक बग है :

@ p3x-robot snap जैसा कि ऊपर बताया गया है, समर्थन इस बात पर निर्भर करता है कि आप कैसे स्नैप करते हैं। electron-installer-snap पास इसके लिए बॉक्स से बाहर का समर्थन है और जैसा कि ऊपर उल्लेख किया गया है यदि उस मॉड्यूल में समस्या है / काम नहीं कर रहा है तो कृपया उस मॉड्यूल पर एक मुद्दा उठाएं।

कृपया विवरण के लिए electron-installer-snap रेपो देखें या ब्राउज़र सैंडबॉक्सिंग पर स्नैपक्राफ्ट दस्तावेज़ देखें

दोहराने के लिए, यहां मेरी वर्तमान समझ यह है कि ठीक करने के लिए कोई बग नहीं है, इलेक्ट्रॉन का सैंडबॉक्स उम्मीद के मुताबिक काम कर रहा है। यहां जिन मुद्दों पर चर्चा की जा रही है, वे मुद्दे हैं जो लोग chrome_sandbox बाइनरी की पैकेजिंग के साथ सामना कर रहे हैं

यह अजीब है, क्योंकि मैंने पहले से ही जोड़ा हुआ सैंडबॉक्स:

app.enableSandbox()
app.commandLine.appendSwitch('no-sandbox')

आउटपुट:

patrikx3<strong i="9">@bitang</strong>:~/Projects/patrikx3/redis-ui-workspace/redis-ui$ /snap/bin/p3x-redis-ui 
realpath: '': No such file or directory
realpath: '': No such file or directory
realpath: '': No such file or directory
realpath: '': No such file or directory
realpath: '': No such file or directory
realpath: '': No such file or directory
realpath: '': No such file or directory
realpath: '': No such file or directory
[12999:0525/085646.618618:FATAL:setuid_sandbox_host.cc(157)] The SUID sandbox helper binary was found, but is not configured correctly. Rather than run without sandboxing I'm aborting now. You need to make sure that /snap/p3x-redis-ui/5/chrome-sandbox is owned by root and has mode 4755.
Trace/breakpoint trap (core dumped)
patrikx3<strong i="10">@bitang</strong>:~/Projects/patrikx3/redis-ui-workspace/redis-ui$ 

मैं इसे इस प्रकार आज़माता हूं: app.enableSandbox() , लेकिन मुझे मिलता है:

Uncaught ReferenceError: require is not defined
    at onload.js:1

अगर मैं लाइन हटा देता हूं, तो यह काम करता है।

@MarshallOfSound मैं electron-builder का उपयोग कर रहा हूँ

आप सभी के लिए, यदि आप इसे काम करना चाहते हैं, तो मैंने एक सहायक बनाया है:
https://github.com/patrikx3/redis-ui/blob/master/src/build/after-pack.js
यदि आप electron-builder का उपयोग कर रहे हैं, तो आप इसे इस तरह जोड़ते हैं:

आप सभी के लिए, यदि आप इसे काम करना चाहते हैं, तो मैंने एक सहायक बनाया है:

इस मुद्दे की चर्चा में इस तरह के समाधान का पहले ही कई बार उल्लेख किया जा चुका है, यही कारण है कि मैंने पहले लिखा था कि इलेक्ट्रॉन v5 काम कर रहा है।

@vladimiry धन्यवाद, मैंने इस समाधान को याद किया, मैंने अभी टाइपस्क्रिप्ट के बजाय जावास्क्रिप्ट मूल समाधान जोड़ा है ...

एकमात्र समस्या यह है कि जब मैं इसे पैक हैक के बाद करता हूं, तो यह पैनल पर इलेक्ट्रॉन से आइकन का उपयोग नहीं कर रहा है, लेकिन यह दूसरा आइकन उत्पन्न करता है, क्या आप लोग इसे कैसे हल कर सकते हैं? मुझे लगता है कि यह नो-सैंडबॉक्स ध्वज है। किसी को?

यह केवल --no-sandbox साथ हो रहा है:

@fabiospampinato आपका अनुकूलन सभी लिनक्स पैकेज प्रकारों के लिए सैंडबॉक्स को निष्क्रिय कर देता है लेकिन कम से कम DEB और Pacman पैकेज SUID सैंडबॉक्स (शायद सभी कंटेनर जैसे पैकेज नहीं) के साथ अच्छी तरह से काम करते हैं, बस SUID अनुमति बिट को chrome-sandbox पर सेट करने की आवश्यकता है संबंधित कोड प्राप्त करता है ।

क्या आप लोग जानते हैं कि मैं दो के बजाय एक आइकन कैसे रख सकता हूं?

https://github.com/electron-userland/electron-builder/issues/3872

https://github.com/patrikx3/onenote/issues/65

@ p3x-robot एक प्रीलोडर जैसी बैश/श स्क्रिप्ट को पेश किए बिना स्नैप कंटेनर ऐप में पैक किए गए --no-sandbox तर्क को जोड़ने का एक तरीका है:

• unsquashfs your-snap-file.snap चलाकर पहले स्नैप को अनपैक करें।
• वहां आवश्यक तर्क जोड़कर ./squashfs-root/command.sh संपादित करें।
• snapcraft pack ./squashfs-root कमांड को क्रियान्वित करके ./squashfs-root फोल्डर को स्नैप पैकेज में वापस पैक करें।

मैंने कोशिश नहीं की लेकिन मुझे लगता है कि इसी तरह की रीपैकेजिंग कार्रवाई ऐप इमेज पैकेज पर भी लागू की जा सकती है, यानी अलग-अलग अनपैक/पैक कमांड निष्पादित करने का मामला।

मुझे लगता है कि वर्णित रीपैकेजिंग क्रियाओं को afterAllArtifactBuild इलेक्ट्रॉन-बिल्डर के हुक में ट्रिगर किया जा सकता है।

@vladimiry धन्यवाद, बहुत बहुत, एक के लिए दिलचस्प है afterAllArtifactBuild के लिए, मैं बिना पैकिंग के कमांड.श को बदलने की कोशिश करूंगा, लेकिन यह कल के लिए है, फिर से धन्यवाद!

एक afterAllArtifactBuild के लिए दिलचस्प है

@ p3x-robot afterAllArtifactBuild हुक वास्तव में ट्रिगर नहीं किया जा रहा है जैसा कि मैंने उम्मीद की थी, लेकिन स्नैप या किसी अन्य पैकेज प्रकार के निर्माण को प्रोग्रामेटिक रूप से ट्रिगर करना काफी आसान है। यहां कोड नमूना देखें। snapFile यहां परिणाम फ़ाइल है, इसलिए आप इसे अनपैक/ unsquashfs कर सकते हैं, आवश्यक परिवर्तन लागू कर सकते हैं और वापस पैक कर सकते हैं/ snapcraft pack । उदाहरण कोड में मैं हनस्पेल शब्दकोशों को स्नैप के ./usr/share/hunspell फ़ोल्डर में पैक करता हूं।

@vladimiry मैं सिर्फ इलेक्ट्रॉन v4 का उपयोग

@ p3x-robot मुझे अभी भी लगता है कि आपको यह स्वीकार करना होगा कि ठीक करने के लिए कुछ भी नहीं है।

@vladimiry ठीक करने के लिए कुछ भी नहीं है, निश्चित रूप से। :)

किसी को पता है कि इलेक्ट्रॉन v5.0.2 सैंडबॉक्स मुद्दे के साथ काम कर रहा है या नहीं?

यह v.5.0.0 के समान है: मुस्कान:

मुझे आशा है कि यह विषय से हटकर नहीं है, लेकिन डेबियन (9) पर AppImages के लिए मुझे त्रुटि मिलती है:

The setuid sandbox is not running as root. 

अगर मैं गलत हूं तो मुझे सुधारें लेकिन मैं समझता हूं (मुख्य रूप से इस चर्चा से) कि यह अक्षम उपयोगकर्ता नामस्थान सुविधा के कारण होता है जो डेबियन पर डिफ़ॉल्ट रूप से

तो इस सुझाव के संबंध में:

1. इलेक्ट्रॉन में कुछ भी नहीं बदलें। अनुशंसा करते हैं कि डेवलपर्स अपने कर्नेल पर अनपेक्षित CLONE_USERNS को सक्षम करें ताकि सेट्यूड सैंडबॉक्स के बजाय नेमस्पेस सैंडबॉक्स को चलने दिया जा सके।

मैं उपयोगकर्ताओं को यह कहते हुए एक संदेश प्रदर्शित करना चाहता हूं कि यह केवल तभी काम करता है जब उपयोगकर्ता नामस्थान सुविधा सक्षम होती है (शायद इसे कैसे करें पर एक संकेत के साथ) और विकल्प के रूप में .deb पैकेज का उपयोग करने का सुझाव दें।

त्रुटि दिखाए जाने से पहले मैं इस तरह के संदेश को कैसे कार्यान्वित कर सकता हूं? क्या AppImage के AppRun में अनपॅकिंग और रीपैकिंग के बिना कस्टम स्क्रिप्ट प्रीपेन्ड करने का कोई तरीका है?

क्या AppImage के AppRun में अनपॅकिंग और रीपैकिंग के बिना कस्टम स्क्रिप्ट प्रीपेन्ड करने का कोई तरीका है?

@gcascio लोडर-जैसी sh स्क्रिप्ट का उपयोग करने के बारे में थ्रेड में संदेश थे जिन्हें आफ्टरपैक स्क्रिप्ट द्वारा इंजेक्ट किया जा सकता है।

आपके जवाब के लिए धन्यवाद। लेकिन मुझे लगता है कि जब afterpack कहा जाता है तो जेनरेट किया गया ऐपरन उपलब्ध नहीं होता है या क्या मैं गलत हूं, कम से कम मुझे इसे appOutDir में नहीं मिल रहा है?

मुझे लगता है कि जब आफ्टरपैक कहा जाता है तो जेनरेट किया गया ऐपरन उपलब्ध नहीं होता है

मैं लोडर जैसी sh स्क्रिप्ट का उपयोग करने के बारे में लिख रहा था लेकिन AppRun स्क्रिप्ट को पैच करने के बारे में नहीं। यदि आप AppRun स्क्रिप्ट को पैच करना चाहते हैं तो ऐसा लगता है कि बिना रीपैकेजिंग के ऐसा करने का कोई तरीका नहीं है।

ठीक है ठीक है मैंने गलत समझा। मैं रीपैकिंग के साथ जा सकता हूँ तो धन्यवाद।

मैं रीपैकिंग के साथ जा सकता हूँ तो धन्यवाद।

@gcascio मामले में आपको एक टेम्पलेट की आवश्यकता है।

वही "SUID सैंडबॉक्स हेल्पर बाइनरी पाया गया" त्रुटि लेकिन स्नैप फ़ाइल पर स्थापित करने के बाद
इसे कैसे ठीक कर सकते हैं

@vladimiry मैं एक ऑनलाइन आईडीई डॉकर में काम कर रहा हूं जिसे http://gitpod.io कहा जाता है जो एक डेबियन कंटेनर चला रहा है। मैं क्रोम-सैंडबॉक्स समस्या को ठीक नहीं कर सकता क्योंकि मेरे पास sudo एक्सेस नहीं है। यहां सामान्य स्वर यह है कि यह एक क्रोम मुद्दा है और इलेक्ट्रॉन मुद्दा नहीं है, लेकिन अगर इलेक्ट्रॉन समस्या को हल कर सकता है तो क्या यह अच्छी बात नहीं होगी?

इस साइट से https://www.gitpod.io/blog/gitpodify/ मैंने कंटेनर में कठपुतली का उपयोग करने के लिए एक समाधान देखा है।

const browser = await puppeteer.launch({args: ['--no-sandbox', '--disable-setuid-sandbox']});

प्रक्रिया को मारने से पहले, यदि सैंडबॉक्स त्रुटि होती है, तो क्या इलेक्ट्रॉन इस तरह के कुछ कोड का प्रयास कर सकता है? या यह ऐसा कुछ है जिसे मैं बैश फ़ाइल के साथ आमंत्रित कर सकता हूं?

प्रक्रिया को मारने से पहले, यदि सैंडबॉक्स त्रुटि होती है, तो क्या इलेक्ट्रॉन इस तरह के कुछ कोड का प्रयास कर सकता है? या यह ऐसा कुछ है जिसे मैं बैश फ़ाइल के साथ आमंत्रित कर सकता हूं?

हाँ, सामान्य रूप से इलेक्ट्रॉन ऐप बाइनरी में --no-sandbox तर्क पारित करना इस मुद्दे के आसपास काम करना चाहिए।

इंस्टॉलेशन पैकेज के आधार पर आप SUID अनुमति बिट (4755) को chrome-sandbox बाइनरी (डेब, पैकमैन, आदि जैसे पैकेजों के लिए) पर सेट कर सकते हैं या लोडर श/बैश स्क्रिप्ट के लिए --no-sandbox तर्क को हार्डकोड कर सकते हैं। (स्नैप और ऐपइमेज जैसे पैकेजों के लिए)। यह वही है जो मैं वर्तमान में करता हूं और इसलिए ऐप उपयोगकर्ताओं के लिए कुछ भी करने की आवश्यकता नहीं है (कोई सूडो एक्सेस की आवश्यकता नहीं है)।

हाल ही में इलेक्ट्रॉन-बिल्डर रिलीज़ पहले से ही --no-sandbox तर्क को हार्डकोडिंग के साथ आता है लेकिन केवल स्नैप पैकेज के लिए।

धन्यवाद @vladimiry इलेक्ट्रॉन -

नए इलेक्ट्रॉन निर्माता हैं, लेकिन AppImage अभी भी तय नहीं है, सही है?

क्या इलेक्ट्रॉन 6 सैंडबॉक्स त्रुटि को ठीक कर रहा है? मैं अभी भी v4 पर हूं क्योंकि मैं इसे ठीक नहीं कर सकता, न ही 5 या 6।

यहाँ स्थिति है:

• Linux पर इलेक्ट्रॉन v5 ने मिश्रित-मोड सैंडबॉक्सिंग (अर्थात कुछ प्रक्रियाओं को सैंडबॉक्स किया जा रहा है और अन्य को नहीं) सक्षम किया है। यह नहीं बदलता है कि आपकी रेंडरर प्रक्रियाओं को डिफ़ॉल्ट रूप से सैंडबॉक्स किया गया है, लेकिन इसका मतलब यह है कि GPU प्रक्रिया अब सैंडबॉक्स हो गई है।
• Linux पर क्रोमियम का सैंडबॉक्स CLONE_NEWUSER नामक OS सुविधा का उपयोग करता है। कुछ कर्नेल इस सुविधा के साथ बनाए गए हैं जो विशेषाधिकार प्राप्त उपयोगकर्ताओं के लिए बहुत सावधानी से प्रतिबंधित हैं। आप इसके बारे में यहाँ [lwn, 2016] अधिक पढ़ सकते हैं।
• जब CLONE_NEWUSER अनुपलब्ध होता है, तो क्रोमियम एक अलग सैंडबॉक्सिंग तंत्र का उपयोग करने के लिए वापस आ जाता है जिसके लिए एक सहायक बाइनरी की आवश्यकता होती है जो रूट के लिए सेट हो। यदि यह बाइनरी मौजूद नहीं है या उसके पास सही अनुमतियाँ नहीं हैं ( 4755 _और root_ के स्वामित्व में), तो सैंडबॉक्स बूट होने में विफल हो जाएगा।
• सहायक बाइनरी अनुमतियां सेट करना एक विशेषाधिकार प्राप्त उपयोगकर्ता (यानी रूट) द्वारा किया जाना चाहिए। हम इन अनुमतियों को npm install पर सेट नहीं करते हैं, क्योंकि हम npm install दौरान रूट एक्सेस के लिए नहीं पूछना चाहते हैं।
• इलेक्ट्रॉन v5 रिलीज पैकेज में हेल्पर बाइनरी शामिल है, लेकिन यह सुनिश्चित करने के लिए विभिन्न पैकेजिंग और वितरण टूल पर निर्भर है कि इसे सही अनुमति और स्वामित्व प्राप्त हो।

दो उपाय हैं:

1. अपने कर्नेल में CLONE_NEWUSER तक गैर-विशेषाधिकार प्राप्त पहुंच सक्षम करें। कुछ कर्नेल इसे sysctl kernel.unprivileged_userns_clone=1 साथ बदलने का समर्थन करते हैं।
2. --no-sandbox साथ लॉन्च करके सैंडबॉक्सिंग को पूरी तरह अक्षम करें। जेएस से इस तर्क को जोड़ना दुर्भाग्य से अपर्याप्त है, क्योंकि मुख्य प्रक्रिया जेएस चलाने से पहले जीपीयू प्रक्रिया शुरू की जाती है।

इन स्थितियों का पता चलने पर हम इलेक्ट्रॉन में सैंडबॉक्स को स्वचालित रूप से अक्षम करने का समर्थन नहीं करेंगे। आपको यह सुनिश्चित करना होगा कि आपके वितरित पैकेज उचित अनुमतियां सेट करें। अधिकांश उपकरण (कम से कम इलेक्ट्रॉन-बिल्डर, इलेक्ट्रॉन-इंस्टॉलर-स्नैप, इलेक्ट्रॉन-इंस्टॉलर-डेबियन, और इलेक्ट्रॉन-इंस्टॉलर-रेडहैट) स्वचालित रूप से इसका समर्थन करते हैं और डेवलपर से किसी कॉन्फ़िगरेशन की आवश्यकता नहीं होती है। यदि आप किसी भिन्न टूल का उपयोग कर रहे हैं जो इसका समर्थन नहीं करता है, तो कृपया उस टूल पर एक समस्या उठाएं और इस टिप्पणी से लिंक करें।

मैं इस मुद्दे को बंद कर रहा हूं क्योंकि, जैसा कि पिछले पैराग्राफ में बताया गया है, हम इस आवश्यकता को नहीं बदलेंगे कि उत्पादन में इलेक्ट्रॉन को एक कार्यशील सैंडबॉक्स तक पहुंच की आवश्यकता होती है जब तक कि स्पष्ट रूप से अन्यथा निर्देश न दिया जाए। हालांकि, विकास को आसान बनाने के लिए, मैंने #19550 खोला है, जब इलेक्ट्रॉन को npm install माध्यम से स्थापित किया जाता है, बजाय एक वितरित पैकेज के माध्यम से स्वचालित रूप से गैर-सैंडबॉक्स मोड में डिग्रेडिंग के विकल्प को ट्रैक करने के लिए।

@ p3x-robot आप वर्कअराउंड 2 के लिए एक न्यूनतम उदाहरण पा सकते हैं। यहाँ @nornagon द्वारा उल्लेख किया गया है जो @vladimiry से प्रेरित है।

@gcascio लेकिन मैं स्नैप हैक को ठीक से हटा सकता हूं? जैसा कि इलेक्ट्रॉन निर्माता में स्नैप पर काम किया जाता है, क्या आप पुष्टि कर सकते हैं?

@gcascio यह काम करता है, बहुत बहुत धन्यवाद! यह काम करता हैं!

@gcascio नो वर्की, यह 2 आइकन बनाता है, इसलिए मैं इलेक्ट्रॉन v4.2.8 पर वापस आ गया ... :(

@ p3x-robot प्रतिक्रिया के लिए धन्यवाद। यदि आप रुचि रखते हैं तो मैंने एक मुद्दा बनाया है और जैसे ही मुझे कुछ समय मिलेगा, मैं इस पर विचार करूंगा।

@nornagon तो हम डेबियन पर इलेक्ट्रॉन 6 भी नहीं चला सकते हैं और क्रोम प्रक्रिया रूट परमिट देने का कोई तरीका नहीं है। दिए गए समाधान उपयोगकर्ता के दृष्टिकोण से पर्याप्त नहीं हैं।

दो उपाय हैं:
अपने कर्नेल में CLONE_NEWUSER के लिए विशेषाधिकार रहित पहुंच सक्षम करें। कुछ कर्नेल इसे sysctl कर्नेल के साथ बदलने का समर्थन करते हैं।

ग्राहकों के साथ खिलवाड़ करने का कोई तरीका नहीं है, कंप्यूटर इस बारे में जाने का तरीका है।

--no-sandbox के साथ लॉन्च करके सैंडबॉक्सिंग को पूरी तरह अक्षम करें। जेएस से इस तर्क को जोड़ना दुर्भाग्य से अपर्याप्त है, क्योंकि मुख्य प्रक्रिया जेएस चलाने से पहले जीपीयू प्रक्रिया शुरू की जाती है।

कैसे एक --sandbox ध्वज जोड़ने और डिफ़ॉल्ट रूप से सैंडबॉक्स सुविधा को बंद करने के बारे में? इलेक्ट्रॉन का उपयोग करने वाले 99% लोगों को खराब न करने का

दिए गए समाधान उपयोगकर्ता के दृष्टिकोण से पर्याप्त नहीं हैं।

लोडर-जैसी स्क्रिप्ट/प्रोग्राम का उपयोग करना जो --no-sandbox arg जोड़ देगा, को भी वर्कअराउंड के रूप में माना जा सकता है, इसलिए किसी अंतिम-उपयोगकर्ता कार्रवाई की आवश्यकता नहीं है। इसके अलावा ऐसे लोडर पहले user namespace समर्थन का परीक्षण कर सकते हैं और यदि आवश्यक हो तो केवल --no-sandbox जोड़ सकते हैं।

@pronebird क्रोम-सैंडबॉक्स बाइनरी chrome-sandbox बाइनरी के कोड का स्वयं ऑडिट करना चाहते हैं, तो आप यहां से शुरू कर सकते हैं: https://chromium.googlesource। com/क्रोमियम/src/+/refs/heads/master/sandbox/linux/suid/sandbox.c#424

यदि आप इलेक्ट्रॉन सैंडबॉक्स के बिना चलने के लिए प्रतिबद्ध हैं, तो मैं किसी अन्य तरीके से सैंडबॉक्सिंग की अत्यधिक अनुशंसा करता हूं, उदाहरण के लिए स्नैपक्राफ्ट या फ्लैटपैक, पैकेजर्स जिनके लिए मेरा मानना ​​​​है कि लॉन्चर स्क्रिप्ट शामिल हैं जो कंटेनर के अंदर इलेक्ट्रॉन के सैंडबॉक्स को अक्षम करते हैं।

@nornagon

क्रोम-सैंडबॉक्स बाइनरी सेट्यूड रूट देना बिना सैंडबॉक्स के इलेक्ट्रॉन चलाने की तुलना में बहुत कम खतरनाक है। विचार करें: आप ही इलेक्ट्रॉन बायनेरिज़ की शिपिंग कर रहे हैं, ताकि आप आश्वस्त महसूस कर सकें कि आप विश्वसनीय कोड भेज रहे हैं (उदाहरण के लिए उस पर हस्ताक्षर करके)। हालांकि, यदि आपका ऐप अविश्वसनीय कोड लोड करने के लिए आश्वस्त हो सकता है (संभवतः जानबूझकर, उदाहरण के लिए वेब पर एक यूआरएल पर नेविगेट करके), तो ऐप किसी भी प्रकार के सैंडबॉक्स के बिना उपयोगकर्ता की अनुमति के साथ उस कोड को खुशी से निष्पादित करेगा। मैं आपके ऐप में एक सैंडबॉक्सिंग प्रक्रिया में अविश्वसनीय जेएस चलाने पर केंद्रित हमलों के खिलाफ रक्षा के बारे में अधिक चिंतित हूं, क्योंकि मैं उसी सैंडबॉक्सिंग सिस्टम में बग का शोषण करने वाले हमलों के बारे में हूं जो क्रोम का उपयोग करता है। (और मैं उम्मीद करता हूं कि अगर उन्हें खोजा गया तो बाद वाले बहुत जल्दी ठीक हो जाएंगे।)

ज़रूर, लेकिन सैंडबॉक्स चलाने का कोई मतलब नहीं है अगर आपके पास एक ऐसा ऐप है जो कभी भी किसी भी दूरस्थ सामग्री को लोड नहीं करता है। मेरा मानना ​​​​है कि इलेक्ट्रॉन के लिए मामला होना चाहिए - वेब स्टैक का उपयोग करके डेस्कटॉप ऐप्स बनाने के लिए, वेब से जेएसओएन लोड करना, लेकिन वेब पेजों को दिखाना पसंद नहीं है जैसे हमारे पास सफारी नहीं है। हम उस समय को पार कर चुके हैं जब लोग वेबसाइटों को फोन-गैप में लपेटते थे, है ना?

मुझे लगता है कि ओवरहेड बहुत ज्यादा है। मैंने आज हमारे ऐप में एक बूटस्ट्रैप स्क्रिप्ट जोड़ी है, और वितरण से chrome-sandbox बाइनरी को हटा दिया है, जो कि एक और 5 मेग्स था। दुर्भाग्य से electron-builder इनमें से किसी का भी समर्थन नहीं करता है, इसलिए हमें एक हुक जोड़ना पड़ा और इसे स्वयं करना पड़ा।

यदि आप स्वयं क्रोम-सैंडबॉक्स बाइनरी के कोड का ऑडिट करना चाहते हैं, तो आप यहां से शुरू कर सकते हैं: https://chromium.googlesource.com/chromium/src/+/refs/heads/master/sandbox/linux/suid/sandbox। सी#424

धन्यवाद। यह वास्तव में एक खतरे के मॉडल पर निर्भर करता है, और ऐसा कोई तरीका नहीं है जिससे हम Google को रूट अनुमतियों के साथ चला रहे हों।

यह पूरी तरह से सुरक्षित हो सकता है, लेकिन यह सत्यापित करना भी वास्तव में कठिन होगा कि सभी स्रोत बरकरार हैं क्योंकि इलेक्ट्रॉन बिल्ड npm के माध्यम से भेजे जाते हैं। हमें इलेक्ट्रॉन के लिए कस्टम बिल्ड सर्वर स्थापित करना होगा और स्वयं स्रोतों का ऑडिट करना होगा। यह एक जबरदस्त प्रयास होगा और मैं इससे बचना चाहूंगा।

@pronebird मैं सैंडबॉक्स चर्चा में बहुत अधिक शामिल नहीं होने वाला हूं, लेकिन यहां मेरा रुख यह है कि हमारे पास डिफ़ॉल्ट रूप से सैंडबॉक्स सक्षम होना चाहिए जैसा कि हम वर्तमान में करते हैं।

यह पूरी तरह से सुरक्षित हो सकता है, लेकिन यह सत्यापित करना भी वास्तव में कठिन होगा कि सभी स्रोत बरकरार हैं क्योंकि इलेक्ट्रॉन बिल्ड npm के माध्यम से भेजे जाते हैं

यह मौलिक रूप से गलत है, इलेक्ट्रॉन बिल्ड npm के माध्यम से नहीं भेजे जाते हैं। एनपीएम पर electron पैकेज वास्तव में लगभग 2 फाइलें और जेएस की ~ 40 लाइनें हैं। वास्तविक इलेक्ट्रॉन बिल्ड S3 के माध्यम से वितरित किए जाते हैं और S3 पर भी चेकसम होते हैं ताकि लोग यह सत्यापित कर सकें कि वे जिस बिल्ड को डाउनलोड कर रहे हैं वह वास्तव में बिल्ड इलेक्ट्रॉन है।

@MarshallOfSound

यह मौलिक रूप से गलत है, इलेक्ट्रॉन बिल्ड npm के माध्यम से नहीं भेजे जाते हैं। एनपीएम पर इलेक्ट्रॉन पैकेज वास्तव में जेएस की लगभग 2 फाइलें और ~ 40 लाइनें हैं। वास्तविक इलेक्ट्रॉन बिल्ड S3 के माध्यम से वितरित किए जाते हैं और S3 पर भी चेकसम होते हैं ताकि लोग यह सत्यापित कर सकें कि वे जिस बिल्ड को डाउनलोड कर रहे हैं वह वास्तव में बिल्ड इलेक्ट्रॉन है।

मेरा मतलब यह है कि बिल्ड npm install चरण के दौरान डाउनलोड किए जाते हैं। मेरा मतलब यह नहीं था कि वे शारीरिक रूप से npm पर होस्ट किए जाते हैं। बता दें कि वे S3 पर होस्ट किए गए हैं। मुझे गलत साबित करें, लेकिन मैं शर्त लगाता हूं कि चेकसम उसी S3 पर होस्ट किए जाते हैं, जो इस तरह के सिस्टम के सुरक्षा ग्रेड को कम करता है, यह केवल एक पैर है। लेकिन वह बात नहीं है। उस परिदृश्य की कल्पना करें जहां आपके निर्माण से छेड़छाड़ की जा रही है और चेकसम तदनुसार अपडेट किया गया है। अब हमें समस्या है। यह मेरी तरफ से केवल एक जोखिम और क्षति नियंत्रण है। कोई जड़ नहीं = वास्तव में कुछ बुरा होने का कम जोखिम।

@pronebird क्रोम-सैंडबॉक्स बाइनरी निश्चित रूप से 5 एमबी नहीं होनी चाहिए, यह एक बग है। इसे ठीक करने के लिए #20049 खोला गया, इसे इंगित करने के लिए धन्यवाद।

अपने उपयोग के मामले के लिए सैंडबॉक्सिंग को अक्षम करना चुनने के लिए आपका निश्चित रूप से स्वागत है। यह क्रोमियम की वास्तुकला यह इतना है कि आप पारित करने के लिए है कि दुर्भाग्यपूर्ण है --no-sandbox कमांड लाइन पर सीधे नहीं बल्कि बुला से app.commandLine.appendSwitch ; एक रैपर स्क्रिप्ट की आवश्यकता के बिना सैंडबॉक्स को आदर्श रूप से अक्षम करना संभव होगा। उम्मीद है कि #20049 के साथ बाइनरी को हटाने की चिंता कम हो जाएगी, क्योंकि 200KB अतिरिक्त 5MB से अधिक के साथ रहने के लिए अधिक उचित है।

क्या सिस्टम बाइनरी का उपयोग करने का कोई विकल्प है? मेरे पास मेरे नोड_मॉड्यूल्स/फ़ोल्डर में किसी भी चीज़ को एक सुड रूट बिट देने के बारे में आरक्षण है। धन्यवाद।

@gardner आप --no-sandbox arg पास कर सकते हैं जो कि देव मोड में होने पर आसान वर्कअराउंड है।

VSCode ने हाल ही में इलेक्ट्रॉन 6 पर स्विच किया है और अब हमें रिपोर्ट मिल रही है कि VSCode अब तब तक शुरू नहीं होगा जब तक कि --no-sandbox विकल्प प्रदान नहीं किया जाता है। यहाँ आगे का रास्ता क्या है? संदर्भ: https://github.com/microsoft/vscode/issues/81056

स्नैप अब बॉक्स से बाहर काम करता है, एपिमेज के लिए, एक कठिन लिखित कोड है:
https://github.com/electron-userland/electron-builder/issues/3872#issuecomment -517875676

बाकी मैं नहीं जानता, मैं केवल एनपीएम, ऐप इमेज और स्नैप जारी करता हूं ...

मूल रूप से, आपको लॉन्चर स्क्रिप्ट में तर्क ( --no-sandbox ) जोड़ने के लिए हर प्रकार के आइटम को फिर से पैकेज करना होगा।

मुझे लगता है कि इलेक्ट्रॉन 6 पर कोई समाधान नहीं है, या तो आपको इसे अपने पैकेज के आधार पर लिखना होगा या फिक्स या डाउनग्रेड की प्रतीक्षा करनी होगी ...

एक बेहतर डेवलपर अनुभव के लिए। हम इलेक्ट्रॉन क्ली टूल के भीतर एक कमांड को बोलो के रूप में सेट कर सकते हैं।

sudo chown root pathToChromeSandboxDynamicallyGenearted && sudo chmod 4755 pathToChromeSandboxDynamicallyGenearted

इलेक्ट्रॉन की तरह एक कमांड --ConfigSandbox.
उपयोगकर्ता जागरूक होगा और सैंडबॉक्स को आसानी से कॉन्फ़िगर किया जा सकता है।
और तब भी जब यह पहली बार चलता है। हम उनसे पूछ सकते हैं कि क्या वे कार्रवाई करना चाहते हैं। वाई या एन। और फिर उन्हें केवल पासवर्ड डालना है। इस तरह यह एक नज़र में किया जाएगा। और यह एक बड़े उपयोगकर्ता अनुभव की ओर ले जाएगा और समय पर जीत जाएगा। क्योंकि आप विक्रेता या समुदाय पर भरोसा करेंगे। और इसके साथ जाओ। पूरे नेट पर सर्च करने की जगह। और यह हममें से अधिक शुरुआती लोगों के लिए और भी अधिक मूल्यवान है। और यह सभी मामलों में अच्छा है।

यह मुद्दा बंद कर दिया गया है लेकिन मैं अभी भी इसे इलेक्ट्रॉन 7.0.0 के साथ कर रहा हूं। क्या कोई ऐसी प्रतिबद्धता है जिसके परिणामस्वरूप कोई सुधार हुआ है?

मामला क्यों बंद कर दिया गया है? ऐसा लगता है कि कोई फिक्स उपलब्ध नहीं है क्योंकि यह अभी भी v7.0.0 . में भी बना रहता है

क्योंकि यह आपके ऐप की पैकेजिंग का मामला है लेकिन इलेक्ट्रॉन का मुद्दा नहीं है।

आह, ठीक है। लेकिन मैं इसे ठीक करने के बारे में कैसे जाउंगा, यद्यपि? क्या कोई ऐसा तरीका है जहां अंतिम उपयोगकर्ता को कोई अतिरिक्त काम नहीं करना पड़ता है?

क्या कोई ऐसा तरीका है जहां अंतिम उपयोगकर्ता को कोई अतिरिक्त काम नहीं करना पड़ता है?

हां, एक तरीका है, इसकी चर्चा पहले भी की जा चुकी है।

sudo sysctl कर्नेल.unविशेषाधिकार प्राप्त_userns_clone=1

WSL उपयोगकर्ताओं के साथ एक समस्या है (WSL का उपयोग करने वाले बहुत हैं) और WSL 1 वास्तविक linux kernal का उपयोग नहीं करता है... हमें WSL2 रिलीज़ के लिए प्रतीक्षा करनी होगी।

इस सीमा से संबंधित संदर्भ के लिए: https://askubuntu.com/questions/1145525/how-to-create-proc-sys-kernel-unprived-userns-clone-file

CONFIG_USER_NS=y उपयोगकर्ता नामस्थान सुविधा को सक्षम करता है, लेकिन वे डिफ़ॉल्ट रूप से अभी भी विशेषाधिकार प्राप्त उपयोगकर्ताओं तक ही सीमित हैं। यह sysctl कर्नेल का सुझाव देता है

मैं पुष्टि करता हूं कि sudo sysctl kernel.unprivileged_userns_clone=1 निष्पादित करना एक और समाधान है, संबंधित टिप्पणी ।

हाँ, मैं मंज़रो और i3wm का उपयोग करता हूं, मैंने वही त्रुटि ली लेकिन इसके साथ यह काम कर रहा है।

क्या मुझे कुछ याद आ रहा है, या रूट एक्सेस के बिना इलेक्ट्रॉन ऐप को आसानी से डाउनलोड करना और चलाना संभव नहीं है? क्षमा करें, मुझे नहीं पता था कि यह डेबियन के लिए विशिष्ट था, और यह कि मेनलाइन कर्नेल अनपेक्षित नामस्थानों को अक्षम करने का भी समर्थन नहीं करता है।

मेरे साहस को क्षमा करें, लेकिन यह बिल्कुल पागलपन है। रेंडरर प्रक्रियाओं में भी इलेक्ट्रॉन Node.js API को उजागर करता है। एक इलेक्ट्रॉन ऐप में क्रोमियम के सैंडबॉक्स का उपयोग/सक्षम करना पूरी तरह से व्यर्थ है, और जैसा कि आप सभी इस मुद्दे की ओर इशारा करते हुए गिटहब के आसपास बग रिपोर्ट से देख सकते हैं, यह अत्यधिक प्रतिकूल भी है। यदि संभव हो तो कृपया इसे अक्षम करें।

रेंडरर प्रक्रियाओं में भी इलेक्ट्रॉन Node.js API को उजागर करता है।

nodeIntegration विकल्प डिफ़ॉल्ट रूप से अक्षम है क्योंकि v5.

क्षमा करें, मुझे नहीं पता था कि यह डेबियन के लिए विशिष्ट था, और यह कि मेनलाइन कर्नेल अनपेक्षित नामस्थानों को अक्षम करने का भी समर्थन नहीं करता है।

तो डेबियन चल रहा है, मैं भाग्यशाली प्रतीत होता हूं कि मेरी मशीन पर मेरी रूट पहुंच है। लेकिन क्या मैं सही हूं कि यह सुविधा उपयोगकर्ताओं को बिना इलेक्ट्रॉन ऐप (AppImage या नहीं के रूप में) चलाने से रोकेगी?

ए) sudo , या
बी) किसी ऐसे व्यक्ति को मनाने में सक्षम होने के कारण जिसके पास sudo है, जो बिना लाइसेंस वाले नेमस्पेस को सक्षम करता है?

@ ब्लैक-पिल्लाडॉग अच्छी तरह से, अगर वे स्रोत से ऐप बना रहे हैं, तो वे इलेक्ट्रॉन को --no-sandbox तर्क में पास करने के लिए प्रारंभ स्क्रिप्ट को संपादित कर सकते हैं। एक ऐप इमेज को उसी प्रभाव से संशोधित करना संभव होना चाहिए (इसे अनपॅकिंग और रीपैक करके), लेकिन मैंने इसे स्वयं नहीं किया है। यह भी असंभव नहीं है कि कुछ ऐप इमेज निर्माता अपने निर्माण में उस ध्वज को शामिल करेंगे, इस मामले में वे विशिष्ट छवियां केवल काम करेंगी।

अन्यथा, मुझे लगता है कि आप सही हैं। ध्यान दें कि मेनलाइन कर्नेल में हमेशा अनपेक्षित नामस्थान सक्षम होते हैं, और उन्हें अक्षम करने का कोई तरीका प्रदान नहीं करते हैं। इसलिए यह केवल डेबियन पर एक मुद्दा क्यों है।

@ black-puppydog जैसा कि मुझे याद है, जब आप पहली बार अपनी मशीन पर डेबियन स्थापित करते हैं तो इंस्टॉलर आपको रूट पासवर्ड के लिए संकेत देता है। लेकिन हां, डेबियन (या डेबियन के कर्नेल पैच का उपयोग करने वाली कोई अन्य प्रणाली) पर, आपको या तो रूट एक्सेस ( sudo या अन्यथा के माध्यम से) की आवश्यकता होती है, या इलेक्ट्रॉन ऐप्स को --no-sandbox साथ चलाने की आवश्यकता होती है।

@ndorf मेनलाइन लिनक्स में, यूजर नेमस्पेस को फीचर में कंपाइल न करके अक्षम किया जा सकता है, लेकिन उन्हें रन टाइम पर सक्षम/अक्षम नहीं किया जा सकता है या केवल विशेषाधिकार प्राप्त प्रक्रियाओं तक ही सीमित नहीं किया जा सकता है। डेबियन अपनी गुठली को इस तरह से पैच करता है कि उपयोगकर्ता नामस्थान डिफ़ॉल्ट रूप से विशेषाधिकार प्राप्त प्रक्रियाओं तक सीमित हैं, लेकिन /proc/sys तहत सेटिंग के साथ सभी प्रक्रियाओं के लिए सक्षम किया जा सकता है।

डेबियन ने इसे प्रतिबंधित करने का कारण यह है कि असुरक्षित उपयोगकर्ता नामस्थान कमजोरियों के लंबे इतिहास के साथ एक गंभीर सुरक्षा जोखिम है। अनपेक्षित उपयोगकर्ता नेमस्पेस अनपेक्षित प्रक्रियाओं को बहुत सी कर्नेल कार्यक्षमता (यूआईडी 0, क्षमताएं, एक फाइल सिस्टम माउंट, एक डिवाइस इनोड, आदि) तक पहुंचने की अनुमति देता है जो केवल बहुत लंबे समय तक विशेषाधिकार प्राप्त प्रक्रियाओं तक ही सीमित था। कोई भी कर्नेल कोड इस धारणा पर निर्भर करता है कि अनपेक्षित प्रक्रियाएं कभी भी इन चीजों को करने में सक्षम नहीं होंगी, अब असुरक्षित प्रक्रियाएं इन चीजों को करने में सक्षम हैं।

क्या इस बीच कोई संभावित समाधान है जब तक कि प्रत्येक linux distro उन सुविधाओं को सक्षम न कर दे?

मूल संदेश देखें:

अगर मैं फ़ाइल को chown और chmod करता हूं तो यह ठीक काम करता है

यहां भी देखें #16631 (टिप्पणी) तो सुड सैंडबॉक्स काम करने के लिए आपको मूल रूप से chrome-sandbox बाइनरी को इस तरह से ट्विक करना होगा:

* `sudo chown root chrome-sandbox`

* `chmod 4755 chrome-sandbox`

यह समस्या अधिक गंभीर है, हालांकि अगर ऐपिमेज/स्नैप पैकेज चला रहे हैं, तो मैंने अभी तक इन मामलों के लिए एक अच्छा समाधान नहीं बताया है। यह काम कर रहा है अगर ऐपिमेज को --no-sandbox तर्क के साथ निष्पादित किया जाता है, लेकिन यह एक हैक है।

यह काम करता है अगर मैं अनपैक्ड निर्देशिका से एप्लिकेशन निष्पादित कर रहा हूं। chrome-sandbox की अनुमतियों को बदलने के बाद मैं इस निर्देशिका को कैसे पैकेज करूं?

@ Shrinidhi111 4755 पैक किए जाने पर संरक्षित किया जा सकता है, कम से कम pacman/deb पैकेज के मामले में। संकुल को विशिष्ट-जिला स्तर पर भी ट्वीक किया जा सकता है, जैसे . रूट मालिक के लिए, आम तौर पर जब लिनक्स पर रेपो से पैकेज स्थापित होता है तो संबंधित फाइलों को रूट मालिक मिलता है। AppImage बिल्ड के मामले में मैं इसे फिर से पैक करता हूं और आंतरिक AppRun स्क्रिप्ट में हार्डकोड --no-sandbox arg करता हूं क्योंकि इलेक्ट्रॉन-बिल्डर अभी तक बॉक्स से बाहर नहीं करता है। स्नैप पैकेज इलेक्ट्रॉन-बिल्डर द्वारा हार्डकोडेड --no-sandbox arg (संबंधित फिक्स ~ 6 महीने पहले जोड़ा गया) के साथ बनाया गया है।

@ Shrinidhi111 4755 पैक किए जाने पर संरक्षित किया जा सकता है, कम से कम pacman/dev पैकेज के मामले में। संकुल को विशिष्ट-जिला स्तर पर भी ट्वीक किया जा सकता है, जैसे . रूट मालिक के लिए, आम तौर पर जब लिनक्स पर रेपो से पैकेज स्थापित होता है तो संबंधित फाइलों को रूट मालिक मिलता है। AppImage बिल्ड के मामले में मैं इसे फिर से पैक करता हूं और आंतरिक AppRun स्क्रिप्ट में हार्डकोड --no-sandbox arg करता हूं क्योंकि इलेक्ट्रॉन-बिल्डर अभी तक बॉक्स से बाहर नहीं करता है। स्नैप पैकेज इलेक्ट्रॉन-बिल्डर द्वारा हार्डकोडेड --no-sandbox arg (संबंधित फिक्स ~ 6 महीने पहले जोड़ा गया) के साथ बनाया गया है।

स्नैप फ़ाइल बनाना एक उत्कृष्ट विचार था और इससे मेरा बहुत सारा काम बच गया। एक बार फिर धन्यवाद!

यह अभी भी कैसे अनसुलझा है

स्नैप पर तय है, मेरे पास अपना खुद का निर्माण है जो एपिमेज के साथ काम करता है। बाकी के लिए अनसुलझा है।

यह धागा अविश्वसनीय रूप से लंबा है और त्रुटि अभी भी सामने आई है। क्या स्थिति का सारांश कहीं है? शायद इस तरह के सारांश को त्रुटि से जोड़ा जा सकता है।

ऐसा लगता है जैसे https://github.com/electron/electron/issues/17972#issuecomment -495767027 और इसी तरह का प्रस्ताव है कि यह केवल रूट एक्सेस वाले सिस्टम पर आसानी से और सुरक्षित रूप से इलेक्ट्रॉन कार्य करने के लिए पर्याप्त है। शायद यह अच्छा होगा यदि सिस्टम ने गलत अनुमति सेटिंग्स का पता लगाया और डेवलपर्स को चेतावनी दी, ताकि इस मुद्दे पर चल रहे उपयोगकर्ताओं को कम किया जा सके, लेकिन शायद यह एक अलग मुद्दा है। ऐसा लगता है कि यह अच्छा होगा यदि उपयोगकर्ताओं के लिए कोई रूट पहुंच न हो, जो आसानी से इलेक्ट्रॉन का उपयोग कर सकें, प्रमुख समझ के साथ कि अविश्वसनीय संसाधन सामान्य से अधिक खतरनाक होते हैं।

बिना रूट एक्सेस वाले उपयोगकर्ताओं के लिए आसानी से इलेक्ट्रॉन का उपयोग करने के लिए पथ

--no-sandbox सीएलआई तर्क।

व्लादिमीर, मैं सोच रहा था उदाहरण के लिए बिना टर्मिनल अनुभव के अंतिम उपयोगकर्ता, या इलेक्ट्रॉन लपेटने वाले ऐप्स चलाना

मैं उदाहरण के बारे में सोच रहा था, बिना अधिक टर्मिनल अनुभव के अंतिम उपयोगकर्ता, या ऐसे ऐप चला रहे हैं जो इलेक्ट्रॉन लपेटते हैं

उस --no-sandbox को ऐप शॉर्टकट में एम्बेड करें। kernel.unprivileged_userns_clone सिस्टम मूल्य की परवाह किए बिना यहां कोई भी लिनक्स पैकेज अच्छी तरह से काम करेगा। तो यह एप्लिकेशन की पैकेजिंग का मामला है।

यह सच है अगर मैं एक डेवलपर हूं, और अपने अंतिम उपयोगकर्ताओं के लिए उपयुक्त चेतावनी देता हूं। नेमस्पेस सैंडबॉक्स के काम करने के कारण क्या कई डेवलपर इस मुद्दे के बारे में कभी नहीं सीखेंगे? यह भी चिंताजनक है कि अविश्वसनीय संसाधन अधिक खतरनाक हैं, इसमें शामिल लोगों से संवाद किए बिना मौजूदा समाधान मौजूद हैं।

यह समाधान केवल तभी काम करता है जब आपको WSL के कारण यह त्रुटि मिलती है

WSL (मेरे मामले में WSL2) पर electron का उपयोग करने का प्रयास करते समय मैं इस मुद्दे में भाग गया।
X11 सर्वर का उपयोग करके भी, इलेक्ट्रॉन X11 पर चलने में सक्षम नहीं था।

मुझे विंडोज़ के लिए इलेक्ट्रॉन बनाना था, भले ही मैं इसे डब्लूएसएल के अंदर चलाऊं। उसके बाद, सब कुछ अपवाद के रूप में काम करता है
ऐसा करने का सबसे आसान तरीका:

• इलेक्ट्रॉन अनइंस्टॉल करें npm uninstall electron
• एनपीएम कॉन्फिग प्लेटफॉर्म बदलें export npm_config_platform=win32
• इलेक्ट्रॉन npm install electron स्थापित करें
• पर्यावरण चर unset npm_config_platform अनसेट करें

यह सुझाव देता है sysctl kernel.unprivileged_userns_clone=1

मैं इस मुद्दे को डब्ल्यूएसएल (विंडोज 10), उबंटू 18.04 डब्लूएसएल में स्थापित के साथ देखता हूं।
sudo sysctl kernel.unprivileged_userns_clone=1 काम नहीं करता।

sudo sysctl kernel.unprivileged_userns_clone=1
sysctl: cannot stat /proc/sys/kernel/unprivileged_userns_clone: No such file or directory

चाउन और चामोद का उपयोग करना भी एक विकल्प नहीं है।

@MarshallOfSound ज़िप अनुमतियों का समर्थन नहीं करता है, लेकिन अंततः मुद्दा chmod अनुमति नहीं है, बल्कि मालिक है। सेटुइड सैंडबॉक्स हेल्पर रूट _ के लिए उपयुक्त है, क्योंकि इसे ऐसे कार्य करने की आवश्यकता है जो केवल रूट के लिए उपलब्ध हैं। यदि पहले रूट विशेषाधिकार प्राप्त किए बिना उपयुक्त अनुमतियां सेट करना संभव था, तो यह लिनक्स में एक बहुत ही गंभीर भेद्यता होगी। सौभाग्य से लिनक्स के लिए, और दुर्भाग्य से हमारे लिए, ऐसा नहीं है।

zip _does_ यूनिक्स-आधारित सिस्टम (या कम से कम मेरे द्वारा परीक्षण किए गए linux के वेरिएंट पर) पर अनुमतियों का समर्थन करता है। देखें https://serverfault.com/a/585889/17620

अनुमति बिट्स को ज़िप की केंद्रीय-निर्देशिका के फ़ाइल-हेडर प्रत्यय में संग्रहीत किया जाता है। प्रत्यय के externalFileAttributes फ़ील्ड का उपयोग प्रत्येक फ़ाइल/निर्देशिका प्रविष्टि के लिए अनुमति बिट्स को संग्रहीत करने के लिए किया जा सकता है।

cc @MarshallOfSound

मुझे भी यही समस्या है !

[gxz<strong i="6">@localhost</strong> build]$ ./Electron-0.1.1.AppImage 
[23154:0521/155029.728314:FATAL:setuid_sandbox_host.cc(157)] The SUID sandbox helper binary was found, but is not configured correctly. Rather than run without sandboxing I'm aborting now. You need to make sure that /tmp/.mount-E0wZecV/chrome-sandbox is owned by root and has mode 4755.
Trace/breakpoint trap(吐核)
[gxz<strong i="7">@localhost</strong> build]$ sudo ./Electron-0.1.1.AppImage 
[sudo] gxz 的密码：
[23191:0521/155048.067790:FATAL:electron_main_delegate.cc(211)] Running as root without --no-sandbox is not supported. See https://crbug.com/638180.
Trace/breakpoint trap
[gxz<strong i="8">@localhost</strong> build]$ 

सामान्य उपयोगकर्ता के रूप में चलाएँ, त्रुटि है: FATAL:setuid_sandbox_host.cc(157)] run as root , त्रुटि है: FATAL:electron_main_delegate.cc(211)]

लेकिन जब मैं यम इंस्टॉल स्नैप के बाद रूट या सामान्य उपयोगकर्ता के रूप में चलाता हूं तो ठीक है।

sudo chown root chrome-sandbox
sudo chmod 4755 chrome-sandbox

यह अच्छा काम करता है।

@cuixiping यह काम करता है: +1:

मैंने किया

$ find . -name chrome-sandbox
./node_modules/electron/dist/chrome-sandbox

$ sudo chown root ./node_modules/electron/dist/chrome-sandbox

$ sudo chmod 4755 ./node_modules/electron/dist/chrome-sandbox

मेरे पास एक ही मुद्दा था जब मैंने दीपिन पर इलेक्ट्रॉन चलाया और मैंने इस कोड के साथ समस्या का समाधान किया है
electron . --no-sandbox

आशा है कि आप मदद करेंगे

काम नहीं करता

@fabiospampinato आपका अनुकूलन सभी लिनक्स पैकेज प्रकारों के लिए सैंडबॉक्स को निष्क्रिय कर देता है लेकिन कम से कम DEB और Pacman पैकेज SUID सैंडबॉक्स (शायद सभी कंटेनर जैसे पैकेज नहीं) के साथ अच्छी तरह से काम करते हैं, बस SUID अनुमति बिट को chrome-sandbox पर सेट करने की आवश्यकता है संबंधित कोड प्राप्त करता है ।

नमस्ते @vladimiry
मैं आपके द्वारा यहां संलग्न लिंक तक नहीं पहुंच सका। क्या आप इसमें मदद कर सकते हैं?
इसके अतिरिक्त, क्या आप यह पता लगाने में सक्षम थे कि इलेक्ट्रॉन-बिल्डर आफ्टर-पैक स्क्रिप्ट में --no-sandbox कैसे करें?

धन्यवाद

@ तुषार-कॉमप्रो, यहाँ यह है https://github.com/vladimiry/ElectronMail/tree/704865abe5187bbf3e9f15ba5a83612f249f8118/scripts/electron-builder/hooks/afterPack। मूल रूप से मैंने कुछ पैकेज प्रकारों के लिए आफ्टर-पैक स्क्रिप्ट में 4755 बिट सेट किया है और अभी भी एपिमेज + स्नैप पैकेज को फिर से तैयार कर रहा हूं। वास्तव में इलेक्ट्रॉन-बिल्डर ने पहले ही स्नैप में --no-sandbox arg एम्बेड कर दिया है, लेकिन अभी तक एपिमेज में नहीं https://github.com/electron-userland/electron-builder/pull/4496। जिस तरह से खरीदें, इन दिनों इलेक्ट्रॉन निर्माता पहले से ही सेट 4755 बिट https://github.com/electron-userland/electron-builder/blob/fc85a42a26df863b5bade4b769182b299ff24e0a/packages/app-builder-lib/templates/linux/after-install.tpl # एल7. इसलिए हाल के इलेक्ट्रॉन-बिल्डर संस्करण को अधिकांश डेवलपर्स के लिए चीजों को सरल बनाना चाहिए।

@व्लादिमिर्य
क्या मैं यह समझने में सही हूं कि आपने छवि और स्नैप के अलावा अन्य लक्ष्यों के लिए 4755 बिट सेट किया है।
https://github.com/vladimiry/ElectronMail/blob/704865abe5187bbf3e9f15ba5a83612f249f8118/scripts/electron-builder/hooks/afterPack/index.ts#L17

लेकिन डेबियन डिस्ट्रो पर .appimage इंस्टॉलर का उपयोग करते समय समस्या आ रही है।

क्या मुझसे कोई चूक हो रही है?

लेकिन डेबियन डिस्ट्रो पर .appimage इंस्टॉलर का उपयोग करते समय समस्या आ रही है।

जैसा कि मैंने कहा कि ऐपिमेज को अभी भी विशेष उपचार की आवश्यकता है। मैं इसे दोबारा पैक करता हूं और --no-sandbox को ./AppRun स्क्रिप्ट में एम्बेड करता हूं। यहां DISABLE_SANDBOX_ARGS_LINE कीवर्ड खोजें https://github.com/vladimiry/ElectronMail/blob/704865abe5187bbf3e9f15ba5a83612f249f8118/scripts/electron-builder/build-appimage.ts।

लेकिन डेबियन डिस्ट्रो पर .appimage इंस्टॉलर का उपयोग करते समय समस्या आ रही है।

जैसा कि मैंने कहा कि ऐपिमेज को अभी भी विशेष उपचार की आवश्यकता है। मैं इसे दोबारा पैक करता हूं और --no-sandbox को ./AppRun स्क्रिप्ट में एम्बेड करता हूं। यहां DISABLE_SANDBOX_ARGS_LINE कीवर्ड खोजें https://github.com/vladimiry/ElectronMail/blob/704865abe5187bbf3e9f15ba5a83612f249f8118/scripts/electron-builder/build-appimage.ts।

नवीनतम इलेक्ट्रॉन निर्माता स्नैप और एपिमेज दोनों में स्वचालित रूप से नो सैनबॉक्स तर्क का ख्याल रखता है।

@व्लादिमिर्य
तो, क्या मुझे यह समझने का अधिकार है कि आपने जो 4755 बिट सेटिंग की है, वह ऐपिमेज और स्नैप के अलावा अन्य इंस्टॉलर के लिए है। और ऐपिमेज के लिए आपने नो-सैंडबॉक्स सेट किया है। क्या आप इसकी पुष्टि कर सकते हैं।

@p3x-रोबोट
हां। आप आंशिक रूप से सही हैं।

1. नवीनतम इलेक्ट्रॉन-बिल्डर स्नैप के लिए नो-सैंडबॉक्स सेट करता है लेकिन एपिमेज के लिए नहीं । हालांकि, उन्होंने एपिमेज के लिए 4755 बिट सेट किया है।
2. अपने प्रोजेक्ट में मैं इलेक्ट्रॉन-संस्करण 20.xx का उपयोग कर रहा हूं इसे 22.xx में अपडेट करना अपने आप में एक प्रयास होगा। यदि संभव हो तो बस इससे बचने की कोशिश करें। V22 में अपडेट करना अंतिम उपाय होगा।

नवीनतम इलेक्ट्रॉन निर्माता स्नैप और एपिमेज दोनों में स्वचालित रूप से नो सैनबॉक्स तर्क का ख्याल रखता है।

अभी तक अपने कोड में पता नहीं लग सका appimage विशेष के समान झलकी इस एक स्नैप के लिए आवेदन (https://github.com/electron-userland/electron-builder/pull/4496 अभी भी खुला)। वैसे भी मेरे मामले में अभी भी रीपैकिंग की आवश्यकता है क्योंकि मैंने सैनबॉक्स से संबंधित के अलावा अन्य अतिरिक्त तर्क दिए हैं।

तो, क्या मुझे यह समझने का अधिकार है कि आपने जो 4755 बिट सेटिंग की है, वह ऐपिमेज और स्नैप के अलावा अन्य इंस्टॉलर के लिए है। और ऐपिमेज के लिए आपने नो-सैंडबॉक्स सेट किया है। क्या आप इसकी पुष्टि कर सकते हैं।

सही। लेकिन आधुनिक इलेक्ट्रॉन निर्माता आंतरिक रूप से 4755 सेट करता है। हालांकि मैं जांचता हूं कि यह स्नैप/एपिमेज के लिए सेट नहीं है क्योंकि यह एक गलती होगी। उदाहरण के लिए अगर मैं चीजों को सही ढंग से याद करता हूं तो स्नैप इलेक्ट्रॉन बाइनरी में 4755 बिट सेट के साथ शुरू नहीं होगा।

@व्लादिमिर्य
मुझे बस नो-सैंडबॉक्स सेट करने की आवश्यकता है क्योंकि मेरे ऐपिमेज डेबियन में काम नहीं कर रहे हैं।

मेरा मानना ​​है कि इस मामले में मुझे दोबारा पैकिंग की जरूरत नहीं पड़ेगी। लेकिन मुझे ऐसा करने के लिए इलेक्ट्रॉन बिल्डर का सही दस्तावेज नहीं मिला। या आपको लगता है कि मुझे भी रीपैकिंग की आवश्यकता होगी?

क्या आप मुझे सही दस्तावेज की ओर इशारा कर सकते हैं जो मुझे यह करने में मदद कर सकता है।

इसके अतिरिक्त, मैं समझता हूं कि मेरे पास दोनों विकल्प हैं या तो 4755 बिट सेट करना या नो-सैंडबॉक्स सेट करना।
आपके विचार में कौन सा बेहतर है?

इसके अतिरिक्त, मैं समझता हूं कि मेरे पास दोनों विकल्प हैं या तो 4755 बिट सेट करना या नो-सैंडबॉक्स सेट करना।

अगर मुझे चीजें ठीक से याद हैं, तो सेटिंग 4755 को एपिमेज से समस्या का समाधान नहीं होगा। आपको (इनमें से एक) चाहिए:

• --no-sandbox कमांड लाइन arg . के साथ अपनी ऐपिमेज फ़ाइल शुरू करें
• आपकी ऐपिमेज फ़ाइल में स्थित --no-sandbox ./AppRun स्क्रिप्ट में एम्बेड किया गया है (इसलिए रीपैकेजिंग की आवश्यकता है)।

क्या आप मुझे सही दस्तावेज की ओर इशारा कर सकते हैं जो मुझे यह करने में मदद कर सकता है।

मुझे संदेह है कि आपको किसी भी दस्तावेज़ में इस मुद्दे के बारे में विस्तृत जानकारी मिल जाएगी। मुझे किसी भी प्रासंगिक दस्तावेज़ की जानकारी नहीं है।

इसके अतिरिक्त, मैं समझता हूं कि मेरे पास दोनों विकल्प हैं या तो 4755 बिट सेट करना या नो-सैंडबॉक्स सेट करना।

अगर मुझे चीजें ठीक से याद हैं, तो सेटिंग 4755 को एपिमेज से समस्या का समाधान नहीं होगा। आपको (इनमें से एक) चाहिए:

• इसे --no-sandbox कमांड लाइन arg . से शुरू करें
• --no-sandbox को ./AppRun स्क्रिप्ट में एम्बेड किया गया है जो आपकी एपीमेज फ़ाइल में स्थित है (इसलिए रीपैकेजिंग की आवश्यकता है)।

क्या आप मुझे सही दस्तावेज की ओर इशारा कर सकते हैं जो मुझे यह करने में मदद कर सकता है।

मुझे संदेह है कि आपको किसी भी दस्तावेज़ में इस मुद्दे के बारे में विस्तृत जानकारी मिल जाएगी। मुझे किसी भी प्रासंगिक दस्तावेज़ की जानकारी नहीं है।

इलेक्ट्रॉन बिल्डर नवीनतम --no-sandbox को ./AppRun एम्बेड करता है, मैं फिर से पैकेज करता था, लेकिन अब यह बेकार है, मैं सिर्फ देशी इलेक्ट्रॉन बिल्डर का उपयोग करता हूं।

@व्लादिमिर्य
हां। अकेले 4755 सेट करने से काम नहीं चलेगा। 4755 के साथ हमें क्रोम-सैंडबॉक्स के मालिक को रूट में बदलना होगा।
वैसे भी, आपकी मदद के लिए बहुत बहुत धन्यवाद। मैं आपके कोड को संदर्भित करने और फिर नो-सैंडबॉक्स सेट करने का प्रयास करूंगा।

@p3x-रोबोट
क्या आप कृपया कुछ लिंक (इलेक्ट्रॉन-बिल्डर रेपो) साझा कर सकते हैं जहां हम कोड को ऐसा करते हुए देख सकते हैं।

https://github.com/patrikx3/onenote

@व्लादिमिर्य
हां। अकेले 4755 सेट करने से काम नहीं चलेगा। 4755 के साथ हमें क्रोम-सैंडबॉक्स के मालिक को रूट में बदलना होगा।
वैसे भी, आपकी मदद के लिए बहुत बहुत धन्यवाद। मैं आपके कोड को संदर्भित करने और फिर नो-सैंडबॉक्स सेट करने का प्रयास करूंगा।

@p3x-रोबोट
क्या आप कृपया कुछ लिंक (इलेक्ट्रॉन-बिल्डर रेपो) साझा कर सकते हैं जहां हम कोड को ऐसा करते हुए देख सकते हैं।

https://github.com/patrikx3/onenote

इलेक्ट्रॉन बिल्डर नवीनतम --no-sandbox को ./AppRun में एम्बेड करता है, मैं फिर से पैकेज करता था, लेकिन अब यह बेकार है, मैं सिर्फ देशी इलेक्ट्रॉन बिल्डर का उपयोग करता हूं।

मैंने हाल ही में इलेक्ट्रॉन निर्माता संस्करण का उपयोग करके इसका परीक्षण किया है और यह --no-sandbox को ./AppRun sh स्क्रिप्ट में एम्बेड नहीं करता है। यदि आप ऐपिमेज शुरू करते हैं तो यह ज्ञात [759164:1013/160044.572604:FATAL:setuid_sandbox_host.cc(158)] The SUID sandbox helper binary was found जैसी त्रुटि के साथ विफल हो जाता है। हो सकता है कि आपने अपने सिस्टम पर kernel.unprivileged_userns_clone ध्वज सक्षम किया हो। यदि ऐसा है तो इसे sudo sysctl kernel.unprivileged_userns_clone=0 तरह अक्षम करने का प्रयास करें और ऐपिमेज फ़ाइल को फिर से शुरू करें।

इलेक्ट्रॉन बिल्डर नवीनतम --no-sandbox को ./AppRun में एम्बेड करता है, मैं फिर से पैकेज करता था, लेकिन अब यह बेकार है, मैं सिर्फ देशी इलेक्ट्रॉन बिल्डर का उपयोग करता हूं।

मैंने हाल ही में इलेक्ट्रॉन निर्माता संस्करण का उपयोग करके इसका परीक्षण किया है और यह --no-sandbox को ./AppRun sh स्क्रिप्ट में एम्बेड नहीं करता है। यदि आप ऐपिमेज शुरू करते हैं तो यह ज्ञात [759164:1013/160044.572604:FATAL:setuid_sandbox_host.cc(158)] The SUID sandbox helper binary was found जैसी त्रुटि के साथ विफल हो जाता है। हो सकता है कि आपने अपने सिस्टम पर kernel.unprivileged_userns_clone ध्वज सक्षम किया हो। यदि ऐसा है तो इसे sudo sysctl kernel.unprivileged_userns_clone=0 तरह अक्षम करने का प्रयास करें और ऐपिमेज फ़ाइल को फिर से शुरू करें।

अजीब बात है, नवीनतम इलेक्ट्रॉन बिल्डर के साथ 10k स्नैप इंस्टॉलेशन हैं। और निश्चित रूप से इलेक्ट्रॉन निर्माता दिखाता है कि यह उस ध्वज को जोड़ता है ...

10k स्नैप हैं

हम एपिमेज की बात कर रहे हैं, स्नैप चीज की नहीं। जैसा कि मैंने ऊपर संदर्भित किया है, स्नैप में निश्चित रूप से एम्बेडेड तर्क है, यहां https://github.com/electron-userland/electron-builder/blob/df5d050e47f2030e48e65c0e3b542c3aec61e9de/packages/app-builder-lib/src/targets/snap.ts#L197 -एल202।

10k स्नैप हैं

हम एपिमेज की बात कर रहे हैं, स्नैप चीज की नहीं। जैसा कि मैंने ऊपर संदर्भित किया है, स्नैप में निश्चित रूप से एम्बेडेड तर्क है, यहां https://github.com/electron-userland/electron-builder/blob/df5d050e47f2030e48e65c0e3b542c3aec61e9de/packages/app-builder-lib/src/targets/snap.ts#L197 -एल202।

आप सही हैं। मैं किसी कारण से सोच रहा था कि यह ऐपिमेज में किया गया था, मैंने फिर से पैकेज के लिए कोड भी हटा दिया और नो-सैंडबॉक्स जोड़ा, लेकिन मैंने फिर से कोशिश की और मुझे लगता है कि यह गायब है, इसलिए मैंने अपने निर्माण की वापसी को जोड़ा, नहीं यह काम करता है। क्षमा करें, मेरे कोरिफ़स-बिल्डर में, आप देख सकते हैं कि मैं क्या कर रहा हूँ: https://github.com/patrikx3/corifeus-builder/blob/master/src/utils/appimage/after-all-artifact-build.js

हाय @nornagon यह देखते हुए कि यह मुद्दा कितना सामान्य है, क्या आधिकारिक इलेक्ट्रॉन क्विक-स्टार्ट ट्यूटोरियल को वर्क-अराउंड को शामिल करने के लिए अपडेट किया जा सकता है ताकि नए लोगों को सकारात्मक अनुभव हो?

संपादित करें: सामुदायिक प्रोत्साहन के लिए धन्यवाद मैंने एक FR #26478 . खोला है

@gabefair यह एक उचित प्रस्ताव की तरह लगता है। क्या आप पीआर खोलने में दिलचस्पी लेंगे?