Electron: SUID 샌드박스 도우미 바이너리를 찾았지만 올바르게 구성되지 않았습니다.

유감스럽게도 이를 자동으로 올바르게 구성할 수 있는 방법은 없습니다. 적절한 권한을 설정하려면 루트 권한이 필요하고 npm install 동안 루트 암호를 묻고 싶지 않기 때문입니다.

이상적으로 Arch는 권한 없는 CLONE_NEWUSER 커널 지원을 구성하고 Chromium(및 Electron)은 이전 setuid 샌드박스에 의존하는 대신 네임스페이스 샌드박스를 사용할 수 있습니다. Linux에 배포되는 앱은 이를 설치 프로세스에 통합해야 합니다. 예를 들어 https://github.com/electron-userland/electron-installer-debian/pull/184 및 https://github.com/electron-userland/electron-installer-redhat/pull/112 를 참조 하세요 .

개발 중에 네임스페이스 샌드박스를 사용할 수 없음을 감지하면 지침과 함께 npm install 에 무언가를 출력해야 합니다.

헤헤 정말 빠른 답변 감사합니다!

권한이 없는 CLONE_NEWUSER가 CONFIG_USER_NS=y 왔습니까? 그렇다면 현재 구성 이어야 합니다.

내가 도울 수 있는 일이 있으면 알려주세요. 또는 이것이 Arch에서 예상되는 출력이라면 기꺼이 닫겠습니다 -- 최첨단 배포판을 실행할 때 예상되는 버벅거림이 있다는 것을 이해하고 신경 쓰지 않습니다. npm에서 바로 완벽하게 작동하기를 기대하기 보다는 PKGBUILD 에서 이것을 해결하십시오. 건배!

CONFIG_USER_NS=y 는 사용자 네임스페이스 기능을 활성화하지만 여전히 기본적으로 권한 있는 사용자로 제한됩니다. 이 제안 sysctl kernel.unprivileged_userns_clone=1

모든 Linux 배포판이 해당 기능을 활성화할 때까지 가능한 해결 방법이 있습니까?

@kitingChris setuid 샌드박스가 해결 방법입니다. 전자 앱을 개발/출시할 때 개발자/패키징 스크립트가 위에 링크된 @nornagon 과 같이 샌드박스 도우미의 권한을 올바르게 설정했는지 확인하기만 하면 됩니다.

모든 Linux 배포판이 해당 기능을 활성화할 때까지 가능한 해결 방법이 있습니까?

원본 메시지 보기:

파일을 chown 및 chmod하면 제대로 작동합니다.

또한 https://github.com/electron/electron/issues/16631#issuecomment -476082063을 참조하십시오. 따라서 suid 샌드박스가 작동하도록 하려면 기본적으로 chrome-sandbox 바이너리를 다음과 같이 조정해야 합니다.

• sudo chown root chrome-sandbox
• chmod 4755 chrome-sandbox

appimage/snap 패키지를 실행하는 경우 이러한 경우에 대한 적절한 해결 방법을 아직 공개하지 않았지만 문제는 더 심각합니다. --no-sandbox argumentmnt로 appimage를 실행하면 작동하지만 이것은 해킹입니다.

@nornagon

적절한 권한을 설정하려면 루트 권한이 필요하고 npm 설치 중에 루트 암호를 묻고 싶지 않기 때문입니다.

chmod 4755 node_modules/electron/dist/chrome-sandbox 실행에는 루트 권한이 필요하지 않으며 이러한 패키지가 정상적으로 chrome-sandbox 포함한 모든 파일을 설치할 때 deb/pacman/etc 패키지에 앱을 래핑하는 명령을 실행하기에 충분해야 합니다. 루트 소유. 따라서 설치 과정에서 전자가 자동으로 chmod 4755 node_modules/electron/dist/chrome-sandbox 수행하면 여기에 언급된 것처럼 수동으로 이 경우를 처리할 필요가 없습니다.

CONFIG_USER_NS=y는 사용자 네임스페이스 기능을 활성화하지만 여전히 기본적으로 권한 있는 사용자로 제한됩니다. 이것은 sysctl kernel.unprivileged_userns_clone=1을 제안합니다.

sudo sysctl kernel.unprivileged_userns_clone=1 이 또 다른 해결 방법이며 관련 주석 임을 확인합니다.

@vladimiry 먼저 chown한 다음 chmod를 수행해야 했습니다. 반대로 작동하지 않았습니다.

@burningTyger 당신이 옳습니다 . 방금 원본 메시지를 변경했습니다.

@nornagon CI에 대해 chmod 4755 out/Release/chrome-sandbox 하면 해당 권한이 zip 로 유지되거나 DL에 대한 권한을 수정하기 위해 electron-download 에서 변경해야 합니까?

변경해야 할 항목에 대한 나쁜 새로운 기능이 여기에 동일합니다... :(

@MarshallOfSound zip은 권한을 지원하지 않지만 궁극적으로 문제는 chmod 권한이 아니라 소유자입니다. setuid 샌드박스 도우미는 루트에만 사용할 수 있는 기능을 수행해야 하기 때문에 suid _to root_입니다. 루트 권한을 먼저 얻지 않고 적절한 권한을 설정할 수 있다면 이는 Linux에서 매우 심각한 취약점이 될 것입니다. Linux에게는 다행스럽게도 우리에게는 불행히도 그렇지 않습니다.

내가 보는 옵션은 다음과 같습니다.

1. Electron에서 아무것도 변경하지 마십시오. setuid 샌드박스 대신 네임스페이스 샌드박스를 실행할 수 있도록 개발자가 커널에서 권한 없는 CLONE_USERNS를 활성화하는 것이 좋습니다.
2. 샌드박스 방식을 사용할 수 없는 경우 _패키지되지 않은 앱을 부팅할 때만_ 샌드박스 없이 부팅합니다. Electron이 패키지 앱을 부팅하는 경우 샌드박스 없이 부팅을 거부합니다.
3. 모든 경우에 사용할 수 있는 샌드박싱 방법이 없으면 샌드박싱 없이 부팅하고 경고를 인쇄합니다.
4. Linux에서는 기본적으로 샌드박싱을 비활성화합니다.

나는 (2) 쪽으로 기울고 있다. 배포된 앱의 보안을 손상시키지 않으면서 개발을 용이하게 합니다.

스냅/플랫팩의 작동 방식에 익숙하지 않기 때문에 스냅/플랫팩에 대해 어떻게 해야 할지 아직 잘 모르겠습니다. Mac App Store 버전의 Electron을 구축할 때와 마찬가지로 해당 상황에서 샌드박싱을 완전히 비활성화할 수 있을 정도로 이미 앱을 샌드박스 처리했을 수 있습니다.

현재로서는 첫 번째 옵션이 더 마음에 듭니다.

1. 패키지되지 않은 앱을 부팅할 때만 사용할 수 있는 샌드박싱 방법이 없는 경우 샌드박스 없이 부팅합니다. Electron이 패키지 앱을 부팅하는 경우 샌드박스 없이 부팅을 거부합니다.

그러한 시나리오는 어떻게 든 오해의 소지가 있습니다. 샌드박싱 없이 패키징되지 않은 앱을 성공적으로 실행할 수 있지만 샌드박싱이 활성화된 경우 패키징된 앱이 동일한 방식으로 작동하지 않을 가능성이 있습니다. 예를 들어 remote 인터페이스가 아닌 렌더러 프로세스에서 메인 프로세스에 액세스하는 경우와 같습니다. 또는 앱을 AppImage / Snap / Flatpak 패키지로 래핑하는 경우.

1. 모든 경우에 사용할 수 있는 샌드박싱 방법이 없으면 샌드박싱 없이 부팅하고 경고를 인쇄합니다.

따라서 샌드박스로 설계 및 개발된 패키지 앱은 사용 가능한 샌드박스가 없는 경우 샌드박스 없이 실행될 수 있습니다. 이것은 나에게 좋은 소리가 아니다.

1. Linux에서는 기본적으로 샌드박싱을 비활성화합니다.

정확히 무엇을 의미합니까? 샌드박싱을 사용할 수 없는 경우 앱이 시작되거나 실패하는 방식으로 Linux에서 샌드박싱을 활성화하는 방법은 무엇입니까(현재 상황, 강제 샌드박싱).

(1)도 좋지만 (2)를 조금 방어하기 위해 샌드박스를 비활성화해도 앱에 노출되는 API는 변경되지 않습니다. 비활성화할 유일한 것은 OS 수준 샌드박스입니다. 우리는 여전히 같은 방식으로 앱을 로드하지만 OS에 의해 보호되지 않을 뿐입니다.

우리는 여전히 같은 방식으로 앱을 로드하지만 OS에 의해 보호되지 않을 뿐입니다.

그러면 나에게도 좋게 들린다. 설명 감사합니다.

나는 2를 좋아하지 않는다. 왜냐하면 선택적 보안은 일반적으로 사람들이 보안을 비활성화하게 만들기 때문이다.

이제 "바보 사용자" 신발로 들어서면 기본적으로 Electron이 작동하는 것을 보고 싶습니다. 그것이 매우 중요한 보안 조치라면 경고와 내가 추가 작업을 해야 하는 이유에 대한 좋은 설명을 주십시오. 그것이 그렇게 중요하지 않다면 나에게 나쁜 "작동하지 않는" 맛을 주지 마십시오.

이 때문에 나는 1. (지금처럼 강제 종료) 또는 4를 좋아합니다.

:x: chown root:root chrome-sandbox && chmod 4755 chrome-sandbox 은(는) 일부 위험 신호를 발생시킵니다.

그것이 하는 일을 아주 명확하게 하기 위해: chrome-sandbox 에 SUID 비트를 설정하여 _모든 사용자_가 _루트_로 파일을 실행할 수 있도록 합니다. 즉, chrome-sandbox 악의적으로 사용할 수 있는 방법이 있거나 콘텐츠가 악성이 될 경우 모든 사용자가 루트가 될 수 있습니다. chrome-sandbox 는 매우 흥미로운 공격 대상이 될 것입니다.

npm install 에 대해 이 해결 방법을 수행하지 않는 것이 좋습니다. sudo (사용자가 암호를 작성해야 함)가 필요하고 침입적이며 그렇게 하면 보안 결과를 이해하지 못할 수 있기 때문입니다.

chown root:root chrome-sandbox && chmod 4755 chrome-sandbox는 나를 위해 몇 가지 위험 신호를 발생시킵니다.

물론 그렇습니다. 그러나 대체 sudo sysctl kernel.unprivileged_userns_clone=1 로 User Namespace 샌드박싱을 활성화할 수 있습니다(Ubuntu에서는 기본적으로 활성화되지만 Arch에서는 활성화되지 않음).

그것이 하는 일에 대해 아주 명확하게 설명하자면: chrome-sandbox 에 SUID 비트를 설정하여 _모든 사용자_가 _루트_로 파일을 실행할 수 있도록 합니다. 즉, chrome-sandbox 악의적으로 사용할 수 있는 방법이 있거나 콘텐츠가 악의적이면 모든 사용자가 루트가 될 수 있습니다. chrome-sandbox 는 매우 흥미로운 공격 대상이 될 것입니다.

예, 하지만 이 바이너리는 Chrome과 함께 제공되는 것과 정확히 동일하므로 이것이 걱정된다면 Chrome도 제거해야 합니다. :)

샌드박스 없이 실행하거나 "샌드박스 도우미" 없이 실행하는 방법이 있습니까? 처음으로 사용자가 불만을 표시했습니다 😂
내가 예상 이 샌드 박스를 사용하지 만, 여전히 얻을 The SUID sandbox helper binary was found, but is not configured correctly 오류입니다.
나는 전자 4.x로 롤백하고 싶지 않다 🤨

에러 메시지

Snapcraft 검토 및 suid

chrome-sandbox 에 suid 플래그가 있는 스냅을 업로드하려고 시도했지만 snapcraft의 검토 프로세스에서 suid 플래그 사용을 금지합니다.

The store was unable to accept this snap.
  - checksums do not match. Please ensure the snap is created with either 'snapcraft pack <DIR>' (using snapcraft >= 2.38) or 'mksquashfs <dir> <snap> -noappend -comp xz -all-root -no-xattrs -no-fragments'. If using electron-builder, please upgrade to latest stable (>= 20.14.7). See https://forum.snapcraft.io/t/automated-reviews-and-snapcraft-2-38/4982/17 for details.
  - found errors in file output: unusual mode 'rwsr-xr-x' for entry './chrome-sandbox'

@thomasnordquist 는 OS 수준 샌드박싱 --no-sandbox 을 앱 인수로 전달해야 합니다. 즉, app.commandLine.appendSwitch 로는 충분하지 않습니다. Snap 패키지와 관련하여 여기에 설명된 것과 같은 플러그를 추가할 수 은 혼합 모드에서 빌드한 앱을 출시하는 것을 선호합니다 . Electron v5는 AppImage 및 Snap을 제외한 모든 패키지에 사용됩니다. 아직 이러한 패키지가 샌드박싱이 활성화된 상태에서 잘 작동하도록 하는 방법이 완전히 명확하지 않기 때문입니다. 그러나 언젠가는 분명해질 것입니다.

Snapcraft가 suid 플래그를 금지하는 경우 아마도 유일한 옵션은 Snapcraft에서 Electron의 샌드박싱을 완전히 비활성화하고 Snapcraft가 사용하는 컨테이너에 의존하는 것입니다. 가장 좋은 방법이 무엇인지 잘 모르겠습니다. Snapcraft를 통해 패키징할 때 추가 명령줄 플래그를 지정할 수 있습니까? 그렇다면 --no-sandbox 플래그를 추가할 수 있습니다. 그렇지 않은 경우 Snapcraft/Flatpak에서 실행을 감지하고 해당 감지를 기반으로 샌드박싱을 비활성화하기 위해 몇 가지 특정 감지 메커니즘을 추가해야 할 수 있습니다.

일부 Snap 관련 문서 https://docs.snapcraft.io/browser-support-interface

@posix4e 사용자 네임스페이스와 SUID 샌드박스/폴백 모드 모두에서 샌드박스 처리된 Snap 패키지를 실행하는 문제에 대해

그것이 하는 일에 대해 아주 명확하게 설명하자면: chrome-sandbox 에 SUID 비트를 설정하여 _모든 사용자_가 _루트_로 파일을 실행할 수 있도록 합니다. 즉, chrome-sandbox 악의적으로 사용할 수 있는 방법이 있거나 콘텐츠가 악의적이면 모든 사용자가 루트가 될 수 있습니다. chrome-sandbox 는 매우 흥미로운 공격 대상이 될 것입니다.

예, 하지만 이 바이너리는 Chrome과 함께 제공되는 것과 정확히 동일하므로 이것이 걱정된다면 Chrome도 제거해야 합니다. :)

Chrome의 바이너리가 SUID가 설정된 root:root 를 갖도록 하는 것에 대해 부분적으로 걱정하고 있습니다. 버그가 없는 코드는 거의 없습니다. 다음은 기록을 위한 소스 코드입니다. https://github.com/chromium/chromium/tree/master/sandbox/linux/suid

하지만 npm install 가 다음과 같은 경우 더 걱정됩니다.

1. 여러 소프트웨어를 즉석에서 다운로드하십시오.
2. root:root 및 SUID 파일 중 하나를 자동으로 만듭니다.

루트가 아닌 사용자가 소유한 파일에 대해 sudo chown root:root && sudo chmod 4755 를 자동으로 수행하는 최초의 소프트웨어 스택이 될 것이라고 생각합니다.

npm 설치에서 sudo chown root:root && sudo chmod 475 를 수행하는 것은 문제가 되지 않으며 npm은 권한을 설정하기 위해 루트로 실행해야 합니다. npm의 후크 모델을 사용하면 설치된 모든 패키지가 루트로도 후크를 실행할 수 있습니다. 수백 개의 패키지 및 중첩 종속성이 있는 경우 이는 매우 위험합니다.

npm 설치에서 sudo chown root:root && sudo chmod 475를 수행하는 것은 문제가 되지 않습니다.

이것은 내가 이해하는 한 옵션으로 간주되지 않습니다.

npm 설치 중에 루트 권한이 필요한 모든 작업을 시작하는 것이 아니라는 데 동의합니다. 이것이 내가 옵션 중 하나를 나열하지 않은 이유입니다.

그 가치를 위해 electron-installer-debian 1.2.0, electron-installer-redhat 1.1.0 및 electron-installer-snap 3.2.0이 SUID 샌드박스 변경 사항과 함께 릴리스되었습니다. Electron Forge v5 및 v6 베타도 전이적으로 업데이트되어야 합니다(범위 내 버전 업데이트를 통해 npm update 또는 yarn upgrade 적절하게 사용).

명확성을 위해 관련 코드 를 연결하기만 하면 됩니다.

분명히 하자면, Snaps에는 더 많은 것이 있었습니다(즉, 위에서 언급한 브라우저 샌드박스 지원 추가). 자세한 내용은 관련 PR의 변경 사항 을 참조하십시오.

방금 이것을 눌렀습니다. chown / chmod가 작동하지만 Docker 이미지 내부에서 실행하는 경우 취해야 할 유일한 조치는 아닙니다.

그냥 하면 다른 오류가 발생합니다.

Failed to move to new namespace: PID namespaces supported, Network namespace supported, but failed: errno = Operation not permitted

이에 대한 수정은 docker run 명령에 --privileged 를 추가하는 것입니다. 나는 이것이 주로 CI에 대한 좋은 솔루션이라고 생각하지 않습니다.

@JCMais Electron이 suid 샌드박스를 사용하려고 시도해야 하지만 도커 내에서 네임스페이스 샌드박스를 잘못 사용하려고 시도하는 것처럼 들립니다. 왜 그런지 모르겠지만 --disable-namespace-sandbox suid 샌드박스를 강제 실행할 수 있습니다. --privileged (또는 --cap-add SYS_ADMIN 또는 CLONE_NEWUSER를 허용하는 사용자 지정 seccomp 프로필)로 docker를 시작하면 샌드박스 내에서 네임스페이스를 사용할 수 있으며 setuid 샌드박스 또는 도우미 실행 파일이 필요하지 않습니다. .

@thomasnordquist 와 마찬가지로 저는 현재 사전 로드 스크립트를 사용하여 Snap/AppImage 패키지에 대한 샌드박싱을 비활성화했습니다. --no-sandbox 인수로 이름이 바뀐/원래 전자 바이너리를 로드하는 데 사용되는 원래 바이너리로 명명된 사전 로드와 유사한 sh 스크립트를 만듭니다. 전자 빌더의 after-pack 스크립트에서 하는 것이 편리합니다.

@nornagon 이 플래그를 전자에 정확히 어떻게 전달해야 합니까? --disable-namespace-sandbox 추가하려고 시도했지만 계속 오류가 발생합니다.

:~$ electron --disable-namespace-sandbox
Failed to move to new namespace: PID namespaces supported, Network namespace supported, but failed: errno = Operation not permitted

이것이 나를 순식간에 무력화시켰고 우리의 모든 Linux 사용자는 내가 이 문제를 해결할 수 있을 때까지 이전 버전에 고정되어 있음을 확인할 수 있습니다.

보안을 향상시키는 방법에 전적으로 동의하지만 이 기능을 끄는 기능 플래그 없이 배송되었습니다.

나는 또한 이것이 코드를 통해 그것을 비활성화하는 기능 없이 배송되어서는 안 된다고 주장하고 싶습니다. 명령줄에서 수동으로 지정하지 않는 한 --no-sandbox가 작동하지 않기 때문에 이것이 우발적일 수 있습니다.

electron-installer-snap 샌드박스 지원을 구현한 방식에 문제가 있는 경우 문제 추적기를 통해 알려주세요.

electron-installer-snap이 샌드박스 지원을 구현한 방식에 문제가 있는 경우 문제 추적기에서 알려주십시오.

또한 누군가가 변경 사항이 Snap 패키지 문제를 해결하기에 충분하다는 확인을 듣고 싶습니다. 따라서 긍정적/부정적 피드백 모두 환영합니다. 관련 정보를 참조하십시오.

@vladimiry 나는 계속해서 그것을 테스트했지만 작동하지 않았습니다.

OS 패치, sysctl 또는 재부팅과 관련하여 해결되지 않는 솔루션이 필요합니다. 지금 당장 작동하는 것이 필요합니다. --no-sandbox가 선호됩니다.

누군가 내가 작동하지 않는 패키지 Snap을 재생산하는 데 사용할 수 있는 최소한의 Electron 앱을 제공할 수 있다면 훨씬 더 도움이 될 것입니다. electron-quick-start 포크를 사용

"작동하지 않음"은 다른 사람을 위해 올바르게 패키징하기 위해 electron-installer-snap 에서 무엇을 할 수 있는지 정확히 찾는 데 도움이 되지 않습니다.

@burtonator , 테스트해 주셔서 감사합니다. 내가 아는 한, --no-sandbox cmd 인수로 원래 바이너리/전자를 시작하는 Snap/AppImage 빌드 로더와 같은 bash/sh 스크립트에 패키징된 것이 현재로서는 유일하게 확인된 해결 방법입니다.

@malept 항목 을 테스트하기 전에 sudo sysctl kernel.unprivileged_userns_clone=0 를 실행하여 사용자 네임스페이스 OS 기능을 비활성화해야 합니다.

@vladimiry 예, 내 노트북에는 이미 해당 사용자 설정이 있습니다.

누구든지 이에 대한 솔루션을 찾고 있다면 @thomasnordquist 의 솔루션 또는 이에 대한 내 적응 을 확인하십시오. Linux에서 샌드박스를 비활성화하여 작동합니다.

@fabiospampinato 귀하의 적응은 모든 Linux 패키지 유형에 대해 샌드박스를 비활성화하지만 최소한 DEB 및 Pacman 패키지는 SUID 샌드박스(컨테이너와 유사한 패키지가 아닌 모든 패키지)와 잘 작동합니다. SUID 권한 비트 를 chrome-sandbox 로 설정하기 관련 코드 가 비활성화되는 Snap/AppImage 패키지가 예상됩니다.

CONFIG_USER_NS=y는 사용자 네임스페이스 기능을 활성화하지만 여전히 기본적으로 권한 있는 사용자로 제한됩니다. 이것은 sysctl kernel.unprivileged_userns_clone=1을 제안합니다.

sudo sysctl kernel.unprivileged_userns_clone=1 이 또 다른 해결 방법이며 관련 주석 임을 확인합니다.

고마워 친구, 나를 위해 일하고 있습니다! @블라디미리

지금 5.0.2에서 작동하는지 아십니까?

@p3x-robot 변경 로그에 이 문제에 대한 언급이 없습니다. 방금 확인했는데 오류가 여전히 있습니다.

@rybaczewa 응답 주셔서 감사합니다. v4도 계속 유지합니다. 큰 문제이므로 v5가 작동할 때까지 기다릴 수 없습니다. ciao

v5가 작동할 때까지 기다릴 수 없습니다.

v5가 작동 중입니다

@ p3x -robot

이 로그 메시지가 표시되면 sudo sysctl kernel.unprivileged_userns_clone=1 하거나 오류 메시지에 설명된 대로 chrome_sandbox 바이너리에 올바른 권한을 부여해야 합니다.

@vladimiry @MarshallOfSound는 왜이 고정되어 말을? Snap에서 내 앱 P3X Redis와 P3X Onenote를 모두 sudo sysctl kernel.unprivileged_userns_clone=1 하거나 chrome_sandbox v5.0.x를 제공할 수 없습니다. v4.xx로만 설치할 수 있습니다.

사용자가 sudo 를) 사용하기를 원할 것이라고 생각하십니까? 그들은 이 프로그램이 나쁘다고 생각하고 앱을 제거할 것입니다..
v5 버전 또는 v6 또는 v7이 제대로 작동하지 않으므로 이것은 버그입니다 .

@p3x-robot snap 위에 표시된 지원은 스냅을 만드는 방법에 달려 있습니다. electron-installer-snap 는 기본적으로 이를 지원하며 위에서 언급한 대로 해당 모듈에 문제가 있거나 작동하지 않는 경우 해당 모듈에 대한 문제를 제기하십시오.

자세한 내용은 electron-installer-snap repo 또는 브라우저 샌드박싱에 대한 snapcraft 문서 를 참조하세요.

반복해서 말씀드리지만, 제가 현재 이해하고 있는 것은 수정할 버그가 없으며 Electron의 샌드박스가 예상대로 작동하고 있다는 것입니다. 여기에서 논의되는 것은 사람들이 chrome_sandbox 바이너리를 패키징할 때 직면하고 있는 문제입니다.

이미 샌드박스를 추가했기 때문에 이것은 이상합니다.

app.enableSandbox()
app.commandLine.appendSwitch('no-sandbox')

산출:

patrikx3<strong i="9">@bitang</strong>:~/Projects/patrikx3/redis-ui-workspace/redis-ui$ /snap/bin/p3x-redis-ui 
realpath: '': No such file or directory
realpath: '': No such file or directory
realpath: '': No such file or directory
realpath: '': No such file or directory
realpath: '': No such file or directory
realpath: '': No such file or directory
realpath: '': No such file or directory
realpath: '': No such file or directory
[12999:0525/085646.618618:FATAL:setuid_sandbox_host.cc(157)] The SUID sandbox helper binary was found, but is not configured correctly. Rather than run without sandboxing I'm aborting now. You need to make sure that /snap/p3x-redis-ui/5/chrome-sandbox is owned by root and has mode 4755.
Trace/breakpoint trap (core dumped)
patrikx3<strong i="10">@bitang</strong>:~/Projects/patrikx3/redis-ui-workspace/redis-ui$ 

나는 이것을 app.enableSandbox() 로 시도하지만 다음을 얻습니다.

Uncaught ReferenceError: require is not defined
    at onload.js:1

선을 제거하면 작동합니다.

@MarshallOfSound 나는 electron-builder

여러분 모두를 위해 작동하게 만들고 싶다면 도우미를 만들었습니다.
https://github.com/patrikx3/redis-ui/blob/master/src/build/after-pack.js
electron-builder 사용하는 경우 다음과 같이 추가합니다.

여러분 모두를 위해 작동하게 만들고 싶다면 도우미를 만들었습니다.

이러한 솔루션은 이미 이 문제 토론에서 여러 번 언급되었으며 이것이 전자 v5가 작동하기 전에 제가 쓴 이유입니다.

@vladimiry 감사합니다. 이 솔루션을 놓쳤습니다. 방금 typescript 대신 javascript 기본 솔루션을 추가했습니다...

유일한 문제는 내가 팩 해킹 후 이것을 할 때 전자의 패널 아이콘을 사용하지 않고 두 번째 아이콘을 생성한다는 것입니다. 어떻게 해결할 수 있습니까? 나는 그것이 샌드 박스가없는 플래그라고 생각합니다. 누구나?

--no-sandbox 에서만 발생합니다.

@fabiospampinato 귀하의 적응은 모든 Linux 패키지 유형에 대해 샌드박스를 비활성화하지만 최소한 DEB 및 Pacman 패키지는 SUID 샌드박스(컨테이너와 유사한 패키지가 아닌 모든 패키지)와 잘 작동합니다. SUID 권한 비트 를 chrome-sandbox 로 설정하기 관련 코드 가 비활성화되는 Snap/AppImage 패키지가 예상됩니다.

두 개 대신 하나의 아이콘을 유지하는 방법을 알고 있습니까?

https://github.com/electron-userland/electron-builder/issues/3872

https://github.com/patrikx3/onenote/issues/65

@p3x-robot 프리로더와 같은 bash/sh 스크립트를 도입하지 않고 Snap 컨테이너 앱에 패키징된 --no-sandbox 인수를 추가하는 방법이 있습니다.

• unsquashfs your-snap-file.snap 를 실행하여 먼저 스냅의 압축을 풉니다.
• 거기에 필요한 인수를 추가하여 ./squashfs-root/command.sh 를 편집하십시오.
• snapcraft pack ./squashfs-root 명령을 실행하여 ./squashfs-root 폴더를 다시 스냅 패키지로 압축합니다.

시도하지는 않았지만 유사한 재패키징 작업이 AppImage 패키지에도 적용될 수 있다고 생각합니다. 즉, 다른 unpack/pack 명령을 실행하는 문제입니다.

설명된 리패키징 작업은 afterAllArtifactBuild 전자 빌더의 후크에서 트리거될 수 있다고 생각합니다.

@vladimiry 감사합니다. afterAllArtifactBuild에 대한 흥미로운 점입니다. 압축을 풀지 않고 command.sh를 변경하려고 시도하지만 내일을 위한 것입니다. 다시 한 번 감사합니다!

하나는 afterAllArtifactBuild에 대해 흥미롭습니다.

@p3x-robot afterAllArtifactBuild 후크는 실제로 예상대로 트리거되지 않지만 프로그래밍 방식으로 빌드하는 Snap 또는 기타 패키지 유형을 트리거하는 것은 매우 쉽습니다. 여기 에서 코드 샘플을 참조 snapFile 는 여기의 결과 파일이므로 압축을 풀고/ unsquashfs 필요한 변경 사항을 적용하고 다시 압축할 수 있습니다/ snapcraft pack . 예제 코드에서 Hunspell 사전을 Snap의 ./usr/share/hunspell 폴더에 넣습니다.

@vladimiry 나는 작동하는 Electron v4를 사용합니다. 누군가가 이것을 고칠 것이라고 생각합니다.

@p3x-robot 저는 아직도 고칠 것이 없다는 것을 인정해야 한다고 생각하는 경향이 있습니다.

@vladimiry 확실히 고칠 것이 없습니다. :)

Electron v5.0.2가 샌드박스 문제와 함께 작동하는지 아는 사람이 있습니까?

v.5.0.0과 동일합니다. :smile:

이것이 주제에서 벗어나지 않기를 바랍니다. 하지만 Debian(9)의 AppImages에 대해 다음 오류가 발생합니다.

The setuid sandbox is not running as root. 

내가 틀렸다면 정정해 주지만 (주로 이 토론에서) 이것이 Debian에서 기본적 으로

따라서 이 제안에 대해:

1. Electron에서 아무것도 변경하지 마십시오. setuid 샌드박스 대신 네임스페이스 샌드박스를 실행할 수 있도록 개발자가 커널에서 권한 없는 CLONE_USERNS를 활성화하는 것이 좋습니다.

사용자 네임스페이스 기능이 활성화된 경우에만 작동한다는 메시지를 사용자에게 표시하고(수행 방법에 대한 힌트와 함께) .deb 패키지를 대안으로 사용할 것을 제안합니다.

오류가 표시되기 전에 이러한 메시지를 어떻게 구현할 수 있습니까? 압축을 풀고 다시 압축하지 않고 AppImage의 AppRun에 사용자 정의 스크립트를 추가하는 방법이 있습니까?

압축을 풀고 다시 압축하지 않고 AppImage의 AppRun에 사용자 정의 스크립트를 추가하는 방법이 있습니까?

@gcascio 애프터 팩 스크립트로 주입할 수 있는 로더와 유사한 sh 스크립트 사용에 대한 메시지가 스레드에

답장을 보내 주셔서 감사합니다. 그런데 afterpack 가 호출될 때 생성된 AppRun을 사용할 수 없다고 생각합니다. 아니면 제가 잘못 알고 있는 것입니까? 적어도 appOutDir 에서는 찾을 수 없습니까?

애프터팩이 호출되면 생성된 AppRun을 사용할 수 없다고 생각합니다.

로더와 같은 sh 스크립트를 사용하는 방법에 대해 작성했지만 AppRun 스크립트를 패치하는 방법에 대해서는 작성하지 않았습니다. AppRun 스크립트를 패치하려는 경우 다시 패키징하지 않고는 패치할 방법이 없는 것 같습니다.

맞아요 제가 잘못 이해했습니다. 그럼 다시 포장해서 가야겠네요 감사합니다.

그럼 다시 포장해서 가야겠네요 감사합니다.

@gcascio 템플릿 이 필요한 경우.

ia 동일한 "SUID 샌드박스 도우미 바이너리를 찾았습니다" 오류이지만 설치 후 스냅 파일에 있음
이것을 어떻게 고칠 수 있습니까?

@vladimiry 저는 데비안 컨테이너를 실행하는 http://gitpod.io 라는 온라인 IDE Docker에서 작업하고 있습니다. sudo 액세스 권한이 없기 때문에 chrome-sandbox 문제를 해결할 수 없습니다. 여기서 일반적인 톤은 이것이 Chrome 문제이지 Electron 문제가 아니라는 것입니다. 그러나 Electron이 문제를 해결할 수 있다면 좋은 일이 아닐까요?

이 사이트 https://www.gitpod.io/blog/gitpodify/ 에서 컨테이너에서 Puppeteer를 사용하는 솔루션을 보았습니다.

const browser = await puppeteer.launch({args: ['--no-sandbox', '--disable-setuid-sandbox']});

샌드박스 오류가 발생하면 Electron이 프로세스를 종료하기 전에 이와 같은 코드를 시도할 수 있습니까? 아니면 bash 파일로 호출할 수 있습니까?

샌드박스 오류가 발생하면 Electron이 프로세스를 종료하기 전에 이와 같은 코드를 시도할 수 있습니까? 아니면 bash 파일로 호출할 수 있습니까?

예, 일반적으로 전자 앱 바이너리에 --no-sandbox 인수를 전달하면 문제를 해결할 수 있습니다.

설치 패키지에 따라 SUID 권한 비트(4755)를 chrome-sandbox 바이너리(deb, pacman 등과 같은 패키지의 경우)로 설정하거나 --no-sandbox 인수를 로더 sh/bash 스크립트에 하드코딩할 수 있습니다. (Snap 및 AppImage와 같은 패키지의 경우). 이것이 내가 현재 하는 일이므로 앱 사용자를 위해 아무 것도 할 필요가 없습니다(sudo 액세스 필요 없음).

최근 전자 빌더 릴리스에는 이미 --no-sandbox 인수가 하드코딩되어 있지만 Snap 패키지에만 해당됩니다.

@vladimiry electron --no-sandbox 덕분에 문제를 통과한 것 같습니다. SNAP도 확인하겠습니다.

최신 전자 빌더가 있지만 AppImage가 여전히 수정되지 않았습니까?

전자 6이 샌드박스 오류를 수정하고 있습니까? 나는 이것을 고칠 수 없기 때문에 여전히 v4에 있습니다. 5 또는 6도 마찬가지입니다.

상황은 다음과 같습니다.

• Electron v5는 Linux에서 혼합 모드 샌드박싱(즉, 일부 프로세스는 샌드박싱되고 다른 프로세스는 샌드박싱되지 않음)을 활성화했습니다. 이것은 렌더러 프로세스가 기본적으로 샌드박스 처리되는지 여부를 변경하지 않지만 GPU 프로세스가 이제 샌드박스 처리되었음을 의미합니다.
• Linux의 Chromium 샌드박스는 CLONE_NEWUSER 라는 OS 기능을 사용합니다. 일부 커널은 많은 주의를 기울여 권한 있는 사용자로 제한된 이 기능으로 빌드되었습니다. 자세한 내용은 여기 [lwn, 2016]
• CLONE_NEWUSER 를 사용할 수 없는 경우 Chromium은 setuid가 root인 도우미 바이너리가 필요한 다른 샌드박싱 메커니즘을 사용하도록 대체합니다. 이 바이너리가 없거나 올바른 권한이 없는 경우( 4755 _root가 소유) 샌드박스는 부팅에 실패합니다.
• 도우미 바이너리 권한 설정은 권한이 있는 사용자(예: 루트)가 수행해야 합니다. npm install 동안 루트 액세스를 요청하지 않기 때문에 npm install 에 이러한 권한을 설정하지 않습니다.
• Electron v5 릴리스 패키지에는 도우미 바이너리가 포함되어 있지만 올바른 권한과 소유권을 확보하는 것은 다양한 패키징 및 배포 도구에 달려 있습니다.

두 가지 해결 방법이 있습니다.

1. 커널에서 CLONE_NEWUSER 에 대한 권한 없는 액세스를 활성화합니다. 일부 커널은 sysctl kernel.unprivileged_userns_clone=1 변경을 지원합니다.
2. --no-sandbox 로 시작하여 샌드박싱을 완전히 비활성화하십시오. 주 프로세스 JS가 실행되기 전에 GPU 프로세스가 시작되기 때문에 불행하게도 JS에서 이 인수를 추가하는 것만으로는 충분하지 않습니다.

이러한 조건이 감지되면 Electron에서 샌드박스를 자동으로 비활성화하는 것을 지원하지 않습니다. 적절한 권한을 설정하려면 분산 패키지를 확인해야 합니다. 대부분의 도구(최소한 electron-builder, electron-installer-snap, electron-installer-debian 및 electron-installer-redhat)는 이를 자동으로 지원하며 개발자의 구성이 필요하지 않습니다. 이것을 지원하지 않는 다른 도구를 사용하는 경우 해당 도구에 대한 문제를 제기하고 이 의견에 링크하십시오.

이전 단락에서 언급했듯이 명시적으로 달리 지시하지 않는 한 프로덕션의 Electron이 작동하는 샌드박스에 액세스해야 한다는 요구 사항을 변경하지 않기 때문에 이 문제를 닫습니다. 그러나 개발을 용이하게 하기 위해 분산 패키지가 아닌 npm install 를 통해 Electron을 설치할 때 샌드박스가 아닌 모드로 자동 저하되는 옵션을 추적하기 위해 #19550을 열었습니다.

@p3x-robot 해결 방법 2에 대한 최소한의 예를 찾을 수 있습니다. @vladimiry 에서 영감을 얻은 @nornagon이 여기에서 언급했습니다.

@gcascio 하지만 스냅 핵을 제거할 수 있습니까? 전자 빌더에서 스냅이 작동하므로 확인할 수 있습니까?

@gcascio 작동합니다, 정말 감사합니다! 효과가있다!

@gcascio no workie, 2개의 아이콘을 생성하므로 전자 v4.2.8로 되돌아갔습니다... :(

@p3x-robot 피드백 주셔서 감사합니다. 관심이 있는 경우 문제를 만들었으며 시간을 찾는 대로 즉시 조사하겠습니다.

@nornagon 그래서 Debian에서 Electron 6을 실행할 수도 없고 크롬 프로세스 루트 권한을 부여할 방법도 없습니다. 제공된 해결 방법은 사용자 관점에서 충분하지 않습니다.

두 가지 해결 방법이 있습니다.
커널에서 CLONE_NEWUSER에 대한 권한 없는 액세스를 활성화합니다. 일부 커널은 sysctl kernel.unprivileged_userns_clone=1로 변경하는 것을 지원합니다.

고객 컴퓨터를 어지럽히는 방법은 전혀 없습니다.

--no-sandbox로 실행하여 샌드박싱을 완전히 비활성화합니다. 주 프로세스 JS가 실행되기 전에 GPU 프로세스가 시작되기 때문에 불행하게도 JS에서 이 인수를 추가하는 것만으로는 충분하지 않습니다.

--sandbox 플래그를 추가하고 기본적으로 샌드박스 기능을 끄는 것은 어떻습니까? 이것은 Electron을 사용하는 사람들의 99%를 망치지 않는다는 이점이 있습니다.

제공된 해결 방법은 사용자 관점에서 충분하지 않습니다.

--no-sandbox 인수를 추가하는 로더와 유사한 스크립트/프로그램을 사용하는 것도 해결 방법으로 간주될 수 있으므로 최종 사용자 작업이 필요하지 않습니다. 이러한 로더 외에도 user namespace 지원을 먼저 테스트하고 필요한 경우에만 --no-sandbox 추가할 수 있습니다.

chrome-sandbox 바이너리 setuid 루트를 제공하는 @pronebird 는 샌드박스 없이 Electron을 실행하는 것보다 훨씬 덜 위험합니다. 다음을 고려하십시오: _당신은_ Electron 바이너리를 제공하는 사람이므로 신뢰할 수 있는 코드를 제공하고 있다고 확신할 수 있습니다(예: 서명). 그러나 앱이 신뢰할 수 없는 코드를 로드하도록 확신할 수 있는 경우(예: 웹에서 URL로 이동하여 의도적으로 가능) 앱은 어떤 종류의 샌드박스 없이도 사용자의 허가를 받아 해당 코드를 행복하게 실행할 것입니다. Chrome이 사용하는 동일한 샌드박싱 시스템의 버그를 악용하는 공격에 대한 것보다 앱의 샌드박스 처리되지 않은 프로세스에서 신뢰할 수 없는 JS를 실행하는 데 초점을 맞춘 공격에 대한 방어에 훨씬 더 관심이 있습니다. (그리고 후자가 발견되면 _매우 빨리_ 수정될 것으로 예상합니다.) chrome-sandbox 바이너리 코드를 직접 감사하려면 https://chromium.googlesource에서 시작할 수 있습니다

Electron 샌드박스 없이 실행하려는 경우 다른 방법으로 샌드박싱을 수행하는 것이 좋습니다. 예를 들어 snapcraft 또는 flatpak, 패키지에는 컨테이너 내부에 Electron의 샌드박스를 비활성화하는 실행 스크립트가 포함되어 있습니다.

@nornagon

chrome-sandbox 바이너리 setuid 루트를 제공하는 것은 샌드박스 없이 Electron을 실행하는 것보다 훨씬 덜 위험합니다. 생각해 보십시오: Electron 바이너리를 제공하는 사람은 귀하이므로 신뢰할 수 있는 코드를 제공하고 있다고 확신할 수 있습니다(예: 서명). 그러나 앱이 신뢰할 수 없는 코드를 로드하도록 확신할 수 있는 경우(예: 웹에서 URL로 이동하여 의도적으로 가능) 앱은 어떤 종류의 샌드박스 없이도 사용자의 허가를 받아 해당 코드를 행복하게 실행할 것입니다. Chrome이 사용하는 동일한 샌드박싱 시스템의 버그를 악용하는 공격에 대한 것보다 앱의 샌드박스 처리되지 않은 프로세스에서 신뢰할 수 없는 JS를 실행하는 데 초점을 맞춘 공격에 대한 방어에 훨씬 더 관심이 있습니다. (그리고 후자가 발견되면 매우 빨리 수정될 것으로 기대합니다.)

물론, 하지만 원격 콘텐츠를 로드하지 않는 앱이 있는 경우 샌드박스를 실행하는 것은 의미가 없습니다. 저는 그것이 Electron의 경우여야 한다고 믿습니다. 웹 스택을 사용하여 데스크톱 앱을 구축하고 웹에서 JSON을 로드할 수 있지만 Safari가 없는 것처럼 웹 페이지를 표시하는 것과는 다릅니다. 사람들이 웹사이트를 폰 갭으로 감싸던 시대는 지났습니다. 그렇지 않습니까?

오버헤드가 너무 많은 것 같아요. 오늘 우리 앱에 부트스트랩 스크립트를 추가했고 배포판에서 chrome-sandbox 바이너리를 제거했는데, 이것은 또 다른 5메가입니다. 불행히도 electron-builder 는 이 중 어느 것도 지원하지 않으므로 후크를 추가하고 직접 수행해야 합니다.

chrome-sandbox 바이너리의 코드를 직접 감사하려면 https://chromium.googlesource.com/chromium/src/+/refs/heads/master/sandbox/linux/suid/sandbox에서 시작할 수 있습니다

감사 해요. 실제로 위협 모델에 따라 다르며 루트 권한으로 Google을 실행할 방법이 없습니다.

완전히 안전할 수 있지만 전자 빌드가 npm을 통해 배송되기 때문에 모든 소스가 손상되지 않았는지 확인하는 것도 정말 어렵습니다. Electron용 커스텀 빌드 서버를 설정하고 소스를 직접 감사해야 했습니다. 이것은 엄청난 노력이 될 것이고 나는 그것을 피하고 싶습니다.

@pronebird 샌드박스 논의에 너무 관여하지는 않겠지만 여기에서 제 입장은 현재와 같이 기본적으로 샌드박스를 활성화해야 한다는 것입니다.

완전히 안전할 수 있지만 전자 빌드가 npm을 통해 배송되기 때문에 모든 소스가 손상되지 않았는지 확인하는 것도 정말 어렵습니다.

이것은 근본적으로 올바르지 않습니다. 전자 빌드는 npm을 통해 배송되지 않습니다. npm의 electron 패키지는 실제로 약 2개의 파일과 ~40줄의 JS입니다. 실제 Electron 빌드는 S3를 통해 제공되며 S3에도 체크섬이 있으므로 사람들은 다운로드 중인 빌드가 실제로 Electron이 배송한 빌드인지 확인할 수 있습니다.

@MarshallOfSound

이것은 근본적으로 올바르지 않습니다. 전자 빌드는 npm을 통해 배송되지 않습니다. npm의 전자 패키지는 실제로 약 2개의 파일과 ~40줄의 JS입니다. 실제 Electron 빌드는 S3를 통해 제공되며 S3에도 체크섬이 있으므로 사람들은 다운로드 중인 빌드가 실제로 Electron이 배송한 빌드인지 확인할 수 있습니다.

내 말은 빌드가 npm install 단계에서 다운로드된다는 것입니다. 나는 그들이 물리적으로 npm에서 호스팅된다는 것을 의미하지 않았습니다. S3에서 호스팅되도록 하십시오. 내가 틀렸다는 것을 증명해 보지만 체크섬은 동일한 S3에서 호스팅되며, 이는 그러한 시스템의 보안 등급을 낮추고 한쪽 다리에만 해당됩니다. 하지만 그게 핵심이 아닙니다. 빌드가 변경되고 그에 따라 체크섬이 업데이트되는 시나리오를 상상해 보십시오. 이제 문제가 있습니다. 그것은 단순히 내 쪽의 위험 및 손상 관리입니다. 루트 없음 = 정말 나쁜 일이 발생할 위험이 낮습니다.

@pronebird chrome-sandbox 바이너리는 확실히 5MB가 아니어야 합니다. 버그입니다. 문제를 해결하기 위해 #20049를 열었습니다. 지적해 주셔서 감사합니다.

사용 사례에 대해 샌드박싱을 비활성화하도록 선택할 수 있습니다. Chromium의 아키텍처가 app.commandLine.appendSwitch 호출하는 대신 명령줄에서 직접 --no-sandbox 를 전달해야 하도록 만드는 것은 불행한 일입니다. 이상적으로는 래퍼 스크립트 없이 샌드박스를 비활성화할 수 있습니다. #20049를 사용하면 바이너리 제거에 대한 우려가 개선될 것입니다. 200KB의 추가 용량이 5MB보다 훨씬 더 합리적이기 때문입니다.

시스템 바이너리를 사용하는 옵션이 있습니까? 내 node_modules/ 폴더에 있는 모든 항목에 suid 루트 비트를 제공하는 것에 대한 예약이 있습니다. 감사 해요.

@gardner 개발자 모드에 있을 때 일종의 쉬운 해결 방법인 --no-sandbox arg를 전달할 수 있습니다.

VSCode는 최근 Electron 6으로 전환되었으며 이제 --no-sandbox 옵션이 제공되지 않으면 VSCode가 더 이상 시작되지 않는다는 보고를 받고 있습니다. 여기서 앞으로 나아갈 방향은 무엇입니까? 참조: https://github.com/microsoft/vscode/issues/81056

snap은 이제 즉시 사용할 수 있습니다. appimage의 경우 하드 작성된 코드가 있습니다.
https://github.com/electron-userland/electron-builder/issues/3872#issuecomment -517875676

나머지는 모르겠고 NPM, AppImage 및 SNAP만 출시합니다...

기본적으로 런처 스크립트에 인수( --no-sandbox )를 추가하려면 모든 유형의 항목을 다시 패키징해야 합니다.

Electron 6에는 솔루션이 없습니다. 패키지를 기반으로 작성하거나 수정 또는 다운그레이드를 기다려야 합니다...

더 나은 개발자 경험을 위해. 전자 cli 도구 내에서 다음과 같이 명령을 설정할 수 있습니다.

sudo chown root pathToChromeSandboxDynamicallyGenearted && sudo chmod 4755 pathToChromeSandboxDynamicallyGenearted

전자 --ConfigSandbox와 같은 명령.
사용자는 이를 인식하고 샌드박스를 쉽게 구성할 수 있습니다.
그리고 처음 실행했을 때도 마찬가지입니다. 우리는 그들이 조치를 취하고 싶은지 물어볼 수 있습니다. y 또는 n. 그런 다음 비밀번호를 입력하기만 하면 됩니다. 그래야 한 눈에 알 수 있습니다. 그리고 그것은 큰 사용자 경험으로 이어질 것이며 제때 승리할 것입니다. 공급업체나 커뮤니티를 신뢰할 수 있기 때문입니다. 그리고 함께 가십시오. 인터넷 전체를 검색하는 대신. 그리고 그것은 우리의 초보자들에게 훨씬 더 가치가 있습니다. 그리고 모든 경우에 좋습니다.

이 문제는 종료되었지만 전자 7.0.0에서 여전히 문제를 겪고 있습니다. 수정으로 이어진 커밋이 있습니까?

문제가 종료된 이유는 무엇입니까? v7.0.0에서도 여전히 지속되므로 사용 가능한 수정 사항이 없는 것 같습니다.

앱 패키징의 문제지만 Electron의 문제가 아니기 때문입니다.

아, 알았어. 하지만 이 문제를 해결하려면 어떻게 해야 합니까? 최종 사용자가 추가 작업을 수행하지 않아도 되는 방법이 있습니까?

최종 사용자가 추가 작업을 수행하지 않아도 되는 방법이 있습니까?

예, 방법이 있습니다. 이전에 논의된 적이 있습니다.

sudo sysctl kernel.unprivileged_userns_clone=1

WSL 사용자에게 문제가 있고(WSL을 사용하는 사람이 많음) WSL 1은 실제 Linux 커널을 사용하지 않습니다. WSL2 릴리스를 기다려야 합니다.

이 제한 사항에 대한 참조: https://askubuntu.com/questions/1145525/how-to-create-proc-sys-kernel-unprivileged-userns-clone-file

CONFIG_USER_NS=y는 사용자 네임스페이스 기능을 활성화하지만 여전히 기본적으로 권한 있는 사용자로 제한됩니다. 이것은 sysctl kernel.unprivileged_userns_clone=1을 제안합니다.

sudo sysctl kernel.unprivileged_userns_clone=1 이 또 다른 해결 방법이며 관련 주석 임을 확인합니다.

예, manjaro와 i3wm을 사용합니다. 동일한 오류가 발생했지만 이것으로 작동합니다.

제가 누락된 것이 있습니까? 아니면 더 이상 루트 액세스 없이 Electron 앱을 다운로드하여 실행할 수 없습니까? 죄송합니다. 이것이 데비안에만 해당된다는 것과 메인라인 커널이 권한이 없는 네임스페이스 비활성화를 지원하지 않는다는 것을 깨닫지 못했습니다.

내 대담함을 용서하십시오. 그러나 이것은 절대적으로 미친 짓입니다. Electron은 렌더러 프로세스에서도 Node.js API를 노출합니다. Electron 앱에서 Chromium의 샌드박스를 사용/활성화하는 것은 완전히 무의미하며, 이 문제를 지적하는 GitHub의 버그 보고서에서 볼 수 있듯이 또한 매우 비생산적입니다. 가능하면 비활성화하십시오.

Electron은 렌더러 프로세스에서도 Node.js API를 노출합니다.

nodeIntegration 옵션은 v5부터 기본적으로 비활성화되어 있습니다.

죄송합니다. 이것이 데비안에만 해당된다는 것과 메인라인 커널이 권한이 없는 네임스페이스 비활성화를 지원하지 않는다는 것을 깨닫지 못했습니다.

그래서 데비안을 실행하면서 내 컴퓨터에 루트 액세스 권한이 있다는 것이 운이 좋은 것 같습니다. 그러나 이 기능이 있는 그대로 사용자가 전자 앱(AppImage로 또는 그렇지 않음) 없이

a) sudo , 또는
b) 권한이 없는 네임스페이스를 활성화하도록 sudo 를 가진 사람을 설득할 수 있습니까?

@black-puppydog 글쎄요. 소스에서 앱을 빌드하는 경우 --no-sandbox 인수를 전자에 전달하도록 시작 스크립트를 편집할 수 있습니다. 동일한 효과로 AppImage를 수정하는 것이 가능해야 합니다(압축을 풀고 다시 포장하여). 하지만 직접 시도하지는 않았습니다. 또한 일부 AppImage 제작자가 빌드에 해당 플래그를 포함하는 것도 불가능하지 않습니다. 이 경우 특정 이미지가 제대로 작동합니다.

그렇지 않으면 당신이 옳다고 생각합니다. 메인라인 커널에는 항상 비특권 네임스페이스가 활성화되어 있으며 비활성화할 수 있는 방법이 없습니다. 따라서 이것이 데비안에서만 문제가 되는 이유입니다.

@black-puppydog 내 기억에 따르면, 설치 프로그램은 시스템에 데비안을 처음 설치할 때 루트 암호를 묻는 메시지를 표시합니다. 하지만 예, Debian(또는 Debian의 커널 패치를 사용하는 다른 시스템)에서는 루트 액세스 권한이 있어야 합니다( sudo 또는 다른 방법을 통해). 또는 --no-sandbox Electron 앱을 실행해야 합니다.

@ndorf 메인라인 Linux에서 사용자 네임스페이스는 기능을 컴파일하지 않음으로써 비활성화할 수 있지만 런타임에 활성화/비활성화하거나 권한 있는 프로세스로만 제한할 수 없습니다. 데비안은 기본적으로 사용자 네임스페이스가 권한 있는 프로세스로 제한되도록 커널을 패치하지만 /proc/sys 아래의 설정으로 모든 프로세스에 대해 활성화할 수 있습니다.

Debian이 이를 제한하는 이유는 권한이 없는 사용자 네임스페이스가 오랜 취약점의 역사를 가진 심각한 보안 위험이기 때문입니다. 권한이 없는 사용자 네임스페이스는 권한이 없는 프로세스가 아주 오랫동안 권한이 있는 프로세스로 제한된 많은 커널 기능(UID 0, 기능, 파일 시스템 마운트, 장치 inode 생성 등)에 액세스할 수 있도록 합니다. 권한이없는 프로세스가 이러한 일을 할 수 없을 것이라는 가정에 의존하는 모든 커널 코드는 권한이없는 프로세스가 갑자기 이런 일을 할 수 있다는 지금 취약합니다.

모든 Linux 배포판이 해당 기능을 활성화할 때까지 가능한 해결 방법이 있습니까?

원본 메시지 보기:

파일을 chown 및 chmod하면 제대로 작동합니다.

또한 여기 #16631 (주석)을 참조하십시오 chrome-sandbox 바이너리를 다음과 같이 조정해야 합니다.

* `sudo chown root chrome-sandbox`

* `chmod 4755 chrome-sandbox`

appimage/snap 패키지를 실행하는 경우 이러한 경우에 대한 적절한 해결 방법을 아직 공개하지 않았지만 문제는 더 심각합니다. --no-sandbox argumentsmnt로 appimage를 실행하면 작동하지만 이것은 해킹입니다.

패키징되지 않은 디렉토리에서 응용 프로그램을 실행하는 경우 작동합니다. chrome-sandbox 의 권한을 변경한 후 이 디렉토리를 어떻게 패키징합니까?

@shrinidhi111 4755는 적어도 pacman/deb 패키지의 경우 패키징할 때 보존될 수 있습니다. 패키지는 특정 거리 수준에서 조정할 수도 있습니다( 예: . 루트 소유자의 경우 일반적으로 Linux의 저장소에서 패키지를 설치하면 관련 파일이 루트 소유자가 됩니다. AppImage 빌드의 경우 전자 빌더 가 아직 상자에서 꺼내지 않기 때문에 내부 AppRun 스크립트에 --no-sandbox arg를 다시 패키징하고 하드코딩합니다. Snap 패키지는 하드코딩된 --no-sandbox arg(관련 수정 사항이 ~6개월 전에 추가됨)를 사용하여 전자 빌더에 의해 구성됩니다.

@shrinidhi111 4755는 적어도 pacman/dev 패키지의 경우 패키징할 때 보존될 수 있습니다. 패키지는 특정 거리 수준에서 조정할 수도 있습니다( 예: . 루트 소유자의 경우 일반적으로 Linux의 저장소에서 패키지를 설치하면 관련 파일이 루트 소유자가 됩니다. AppImage 빌드의 경우 전자 빌더 가 아직 상자에서 꺼내지 않기 때문에 내부 AppRun 스크립트에 --no-sandbox arg를 다시 패키징하고 하드코딩합니다. Snap 패키지는 하드코딩된 --no-sandbox arg(관련 수정 사항이 ~6개월 전에 추가됨)를 사용하여 전자 빌더에 의해 구성됩니다.

스냅 파일을 만드는 것은 훌륭한 아이디어였으며 많은 작업을 절약했습니다. 다시 한번 감사합니다!

이게 어떻게 아직도 미해결

스냅에서 수정되었습니다. appimage와 함께 작동하는 자체 빌드가 있습니다. 나머지는 해결되지 않았기 때문입니다.

이 스레드는 엄청나게 길며 여전히 오류가 발생합니다. 상황 요약이 어디에 있습니까? 아마도 그러한 요약은 오류에서 연결될 수 있습니다.

https://github.com/electron/electron/issues/17972#issuecomment -495767027 처럼 들리고 루트 액세스 권한이 있는 시스템에서만 전자 기능을 쉽고 안전하게 갖는 것으로 충분하다고 제안하고 있습니다. 시스템이 잘못된 권한 설정을 감지하고 개발자에게 경고를 제공하여 이 문제에 직면하는 사용자를 줄이는 것이 좋을 수도 있지만 이는 별개의 문제일 수 있습니다. 또한 루트 권한이 없는 사용자가 전자를 쉽게 사용할 수 있는 경로가 있었으면 하고, 평소보다 신뢰할 수 없는 리소스가 더 위험하다는 것을 잘 이해하고 있으면 좋을 것 같습니다.

루트 권한이 없는 사용자가 전자를 쉽게 사용할 수 있는 경로

--no-sandbox CLI 인수.

vladimiry, 예를 들어 터미널 경험이 많지 않은 최종 사용자 또는 전자를 래핑하는 앱을 실행하는 것을 생각했습니다.

예를 들어 터미널 경험이 많지 않은 최종 사용자 또는 전자를 래핑하는 앱을 실행하는 것을 생각하고 있었습니다.

해당 --no-sandbox 를 앱 바로 가기에 포함합니다. 여기에 있는 모든 Linux 패키지는 kernel.unprivileged_userns_clone 시스템 값에 관계없이 잘 작동합니다. 따라서 응용 프로그램을 패키징하는 것이 중요합니다.

내가 개발자이고 최종 사용자에게 적절한 경고를 하는 경우에는 사실입니다. 네임스페이스 샌드박스가 작동하기 때문에 많은 개발자가 이 문제에 대해 전혀 배우지 않을까요? 또한 신뢰할 수 없는 리소스가 더 위험하다는 사실을 관계자에게 알리지 않고 기존 솔루션이 제자리에 있다는 사실도 걱정스럽습니다.

이 솔루션은 WSL 때문에 이 오류가 발생한 경우에만 작동합니다.

WSL(제 경우에는 WSL2)에서 electron 를 사용하려고 하는 동안 이 문제가 발생했습니다.
X11 서버를 사용해도 전자는 X11을 통해 실행할 수 없었습니다.

WSL 내에서 실행하더라도 Windows용 전자를 빌드해야 했습니다. 그 후에는 모든 것이 예외적으로 작동합니다.
가장 간단한 방법은 다음과 같습니다.

• 전자 제거 npm uninstall electron
• npm 구성 플랫폼 변경 export npm_config_platform=win32
• 전자 설치 npm install electron
• 환경 변수 unset npm_config_platform 설정 해제

이 제안 sysctl kernel.unprivileged_userns_clone=1

WSL(Windows 10), WSL에 설치된 Ubuntu 18.04에서 이 문제가 표시됩니다.
sudo sysctl kernel.unprivileged_userns_clone=1 이(가) 작동하지 않습니다.

sudo sysctl kernel.unprivileged_userns_clone=1
sysctl: cannot stat /proc/sys/kernel/unprivileged_userns_clone: No such file or directory

chown 및 chmod를 사용하는 것도 옵션이 아닙니다.

@MarshallOfSound zip은 권한을 지원하지 않지만 궁극적으로 문제는 chmod 권한이 아니라 소유자입니다. setuid 샌드박스 도우미는 루트에만 사용할 수 있는 기능을 수행해야 하기 때문에 suid _to root_입니다. 루트 권한을 먼저 얻지 않고 적절한 권한을 설정할 수 있다면 이는 Linux에서 매우 심각한 취약점이 될 것입니다. Linux에게는 다행스럽게도 우리에게는 불행히도 그렇지 않습니다.

zip _does_는 유닉스 기반 시스템(또는 적어도 내가 테스트한 Linux 변형)에 대한 권한을 지원합니다. https://serverfault.com/a/585889/17620 참조

권한 비트는 zip의 중앙 디렉토리의 파일 헤더 접미사에 저장됩니다. 접미사의 externalFileAttributes 필드는 각 파일/디렉토리 항목에 대한 권한 비트를 저장하는 데 사용할 수 있습니다.

cc @MarshallOfSound

나는 같은 문제를 가지고있다 !

[gxz<strong i="6">@localhost</strong> build]$ ./Electron-0.1.1.AppImage 
[23154:0521/155029.728314:FATAL:setuid_sandbox_host.cc(157)] The SUID sandbox helper binary was found, but is not configured correctly. Rather than run without sandboxing I'm aborting now. You need to make sure that /tmp/.mount-E0wZecV/chrome-sandbox is owned by root and has mode 4755.
Trace/breakpoint trap(吐核)
[gxz<strong i="7">@localhost</strong> build]$ sudo ./Electron-0.1.1.AppImage 
[sudo] gxz 的密码：
[23191:0521/155048.067790:FATAL:electron_main_delegate.cc(211)] Running as root without --no-sandbox is not supported. See https://crbug.com/638180.
Trace/breakpoint trap
[gxz<strong i="8">@localhost</strong> build]$ 

일반 사용자로 실행, 오류: FATAL:setuid_sandbox_host.cc(157)] .root로 실행, 오류: FATAL:electron_main_delegate.cc(211)]

그러나 내가 yum 후에 스냅을 설치할 때, 루트로 실행하거나 일반 사용자로 실행하면 됩니다.。

sudo chown root chrome-sandbox
sudo chmod 4755 chrome-sandbox

이것은 잘 작동합니다.

@cuixiping 작동합니다 :+1:

나는 했다

$ find . -name chrome-sandbox
./node_modules/electron/dist/chrome-sandbox

$ sudo chown root ./node_modules/electron/dist/chrome-sandbox

$ sudo chmod 4755 ./node_modules/electron/dist/chrome-sandbox

Deepin에서 전자를 실행할 때도 같은 문제가 있었고 이 코드로 문제를 해결했습니다.
electron . --no-sandbox

당신에게 도움이되기를 바랍니다

작동하지 않습니다

@fabiospampinato 귀하의 적응은 모든 Linux 패키지 유형에 대해 샌드박스를 비활성화하지만 최소한 DEB 및 Pacman 패키지는 SUID 샌드박스(컨테이너와 유사한 패키지가 아닌 모든 패키지)와 잘 작동합니다. SUID 권한 비트 를 chrome-sandbox 로 설정하기 관련 코드 가 비활성화되는 Snap/AppImage 패키지가 예상됩니다.

안녕하세요 @vladimiry
여기에 첨부한 링크에 액세스할 수 없습니다. 도와줄 수 있니?
또한 전자 빌더 애프터 팩 스크립트에서 --no-sandbox를 수행하는 방법을 알아낼 수 있었습니까?

감사 해요

@tushar-compro, 여기 https://github.com/vladimiry/ElectronMail/tree/704865abe5187bbf3e9f15ba5a83612f249f8118/scripts/electron-builder/hooks/afterPack입니다. 기본적으로 일부 패키지 유형의 경우 애프터팩 스크립트에서 4755비트를 설정하고 여전히 appimage+snap 패키지를 다시 포장합니다. 실제로 electron-builder는 이미 --no-sandbox arg를 snap에 포함했지만 아직 appimage https://github.com/electron-userland/electron-builder/pull/4496 에는 포함되어 있지 않습니다 https://github.com/electron-userland/electron-builder/blob/fc85a42a26df863b5bade4b769182b299ff24e0a/packages/app-builder-lib/templates/linux/after-install.tpl #L7. 따라서 최신 전자 빌더 버전은 대부분의 개발자를 위해 작업을 단순화해야 합니다.

@블라디미리
바로 당신이 목표를위한 4755 비트를 제외한 다른의 appimage을 설정하고 스냅 것을 이해 I를하고 있습니다.
https://github.com/vladimiry/ElectronMail/blob/704865abe5187bbf3e9f15ba5a83612f249f8118/scripts/electron-builder/hooks/afterPack/index.ts#L17

그러나 데비안 배포판에서 .appimage 설치 프로그램을 사용하는 동안 문제가 발생합니다.

내가 여기에서 뭔가를 놓치고 있습니까?

그러나 데비안 배포판에서 .appimage 설치 프로그램을 사용하는 동안 문제가 발생합니다.

내가 말했듯이 appimage는 여전히 특별한 대우가 필요합니다. 다시 패키징하고 --no-sandbox 를 ./AppRun 스크립트에 포함합니다. https://github.com/vladimiry/ElectronMail/blob/704865abe5187bbf3e9f15ba5a83612f249f8118/scripts/electron-builder/build-appimage.ts 에서 DISABLE_SANDBOX_ARGS_LINE 키워드를 찾습니다 .

그러나 데비안 배포판에서 .appimage 설치 프로그램을 사용하는 동안 문제가 발생합니다.

내가 말했듯이 appimage는 여전히 특별한 대우가 필요합니다. 다시 패키징하고 --no-sandbox 를 ./AppRun 스크립트에 포함합니다. https://github.com/vladimiry/ElectronMail/blob/704865abe5187bbf3e9f15ba5a83612f249f8118/scripts/electron-builder/build-appimage.ts 에서 DISABLE_SANDBOX_ARGS_LINE 키워드를 찾습니다 .

최신 전자 빌더는 snap과 appimage 모두에서 자동으로 no sanbox 인수를 처리합니다.

@블라디미리
그래서, 당신이 한 4755 비트 설정이 appimage 및 snap 이외의 설치 프로그램을위한 것임을 이해하는 것이 맞습니까? 그리고 appimage의 경우 no-sandbox를 설정했습니다. 확인 부탁드립니다.

@p3x-로봇
예. 당신은 부분적으로 맞습니다.

1. 최신 전자 빌더는 스냅용으로 샌드박스를 설정하지 않지만 앱 이미지용은 설정하지 않습니다 . 그러나 그들은 appimage에 4755 비트를 설정했습니다.
2. 내 프로젝트에서 전자 버전 20.xx를 사용하고 있습니다. 22.xx로 업데이트하는 것 자체가 노력이 될 것입니다. 가능하면 피하려고만 합니다. v22로 업데이트하는 것은 최후의 수단입니다.

최신 전자 빌더는 snap과 appimage 모두에서 자동으로 no sanbox 인수를 처리합니다.

아직 코드에서 찾을 수 appimage 별과 유사한 스 니펫 이 (여전히 열려 https://github.com/electron-userland/electron-builder/pull/4496) 스냅 적용 하나. 어쨌든 제 경우에는 sanbox 관련 이외의 추가 인수를 넣었기 때문에 여전히 재포장이 필요합니다.

그래서, 당신이 한 4755 비트 설정이 appimage 및 snap 이외의 설치 프로그램을위한 것임을 이해하는 것이 맞습니까? 그리고 appimage의 경우 no-sandbox를 설정했습니다. 확인 부탁드립니다.

옳은. 그러나 현대 전자 빌더는 내부적으로 4755를 설정합니다. 나는 그것이 실수가 될 것이기 때문에 snap/appimage에 대해 설정되지 않았는지 확인합니다. 예를 들어 스냅은 내가 올바르게 기억한다면 전자 바이너리로 설정된 4755비트로 시작하지 않을 것입니다.

@블라디미리
내 앱 이미지가 데비안에서 작동하지 않기 때문에 no-sandbox를 설정하기만 하면 됩니다.

나는 이 경우에 내가 다시 포장할 필요가 없을 것이라고 믿는다. 그러나 나는 그것을 하기 위한 전자 빌더의 올바른 문서를 찾을 수 없었습니다. 아니면 재포장도 필요하다고 생각하십니까?

그렇게 하는 방법에 도움이 될 수 있는 올바른 문서를 알려줄 수 있습니까?

또한 4755비트를 설정하거나 샌드박스를 사용하지 않도록 설정하는 두 가지 옵션이 모두 있다는 것을 알고 있습니다.
어느 것이 더 낫다고 생각합니까?

또한 4755비트를 설정하거나 샌드박스를 사용하지 않도록 설정하는 두 가지 옵션이 모두 있다는 것을 알고 있습니다.

제 기억이 맞다면 4755를 appimage로 설정해도 문제가 해결되지 않습니다. 다음 중 하나를 수행해야 합니다.

• --no-sandbox 명령줄 인수로 appimage 파일 시작
• --no-sandbox appimage 파일에 있는 ./AppRun 스크립트에 포함시키십시오(다시 패키징해야 함).

그렇게 하는 방법에 도움이 될 수 있는 올바른 문서를 알려줄 수 있습니까?

모든 문서에서 문제에 대한 자세한 정보를 찾을 수 있을지 모르겠습니다. 관련 문서를 알지 못합니다.

또한 4755비트를 설정하거나 샌드박스를 사용하지 않도록 설정하는 두 가지 옵션이 모두 있다는 것을 알고 있습니다.

제 기억이 맞다면 4755를 appimage로 설정해도 문제가 해결되지 않습니다. 다음 중 하나를 수행해야 합니다.

• --no-sandbox 명령줄 인수로 시작
• --no-sandbox appiamge 파일에 있는 ./AppRun 스크립트에 포함되어 있어야 합니다(다시 패키징해야 함).

그렇게 하는 방법에 도움이 될 수 있는 올바른 문서를 알려줄 수 있습니까?

모든 문서에서 문제에 대한 자세한 정보를 찾을 수 있을지 모르겠습니다. 관련 문서를 알지 못합니다.

전자 빌더는 최근에 --no-sandbox 에 ./AppRun 임베딩했습니다. 예전에는 다시 패키징했지만 지금은 쓸모가 없습니다. 저는 그냥 기본 전자 빌더를 사용합니다.

@블라디미리
예. 4755만 설정하면 작동하지 않습니다. 4755에서는 chrome-sandbox의 소유자를 root로 변경해야 합니다.
어쨌든 많은 도움을 주셔서 감사합니다. 귀하의 코드를 참조하여 샌드박스 없음을 설정하겠습니다.

@p3x-로봇
이 작업을 수행하는 코드를 볼 수 있는 링크(전자 빌더 리포지토리)를 공유해 주시겠습니까?

https://github.com/patrikx3/onenote

@블라디미리
예. 4755만 설정하면 작동하지 않습니다. 4755에서는 chrome-sandbox의 소유자를 root로 변경해야 합니다.
어쨌든 많은 도움을 주셔서 감사합니다. 귀하의 코드를 참조하여 샌드박스 없음을 설정하겠습니다.

@p3x-로봇
이 작업을 수행하는 코드를 볼 수 있는 링크(전자 빌더 리포지토리)를 공유해 주시겠습니까?

https://github.com/patrikx3/onenote

전자 빌더 최신 버전은 ./AppRun에 --no-sandbox를 포함합니다. 예전에는 다시 패키징했지만 지금은 쓸모가 없습니다. 그냥 기본 전자 빌더를 사용합니다.

방금 최신 전자 빌더 버전을 사용하여 테스트했으며 ./AppRun sh 스크립트에 --no-sandbox를 포함하지 않습니다. 앱 이미지를 시작하면 알려진 [759164:1013/160044.572604:FATAL:setuid_sandbox_host.cc(158)] The SUID sandbox helper binary was found 같은 오류로 실패합니다. 시스템에서 kernel.unprivileged_userns_clone 플래그를 활성화했을 수 있습니다. 그렇다면 sudo sysctl kernel.unprivileged_userns_clone=0 와 같이 비활성화하고 appimage 파일을 다시 시작하십시오.

전자 빌더 최신 버전은 ./AppRun에 --no-sandbox를 포함합니다. 예전에는 다시 패키징했지만 지금은 쓸모가 없습니다. 그냥 기본 전자 빌더를 사용합니다.

방금 최신 전자 빌더 버전을 사용하여 테스트했으며 ./AppRun sh 스크립트에 --no-sandbox를 포함하지 않습니다. 앱 이미지를 시작하면 알려진 [759164:1013/160044.572604:FATAL:setuid_sandbox_host.cc(158)] The SUID sandbox helper binary was found 같은 오류로 실패합니다. 시스템에서 kernel.unprivileged_userns_clone 플래그를 활성화했을 수 있습니다. 그렇다면 sudo sysctl kernel.unprivileged_userns_clone=0 와 같이 비활성화하고 appimage 파일을 다시 시작하십시오.

이상하게도 최신 전자 빌더로 10k 스냅 설치가 있습니다. 그리고 확실히 전자 빌더는 해당 플래그를 추가한다는 것을 보여줍니다 ...

10k 스냅이 있습니다

우리는 스냅이 아니라 앱 이미지에 대해 이야기하고 있습니다. 물론 Snap에는 위에서 참조한 것처럼 arg가 포함되어 있습니다. https://github.com/electron-userland/electron-builder/blob/df5d050e47f2030e48e65c0e3b542c3aec61e9de/packages/app-builder-lib/src/targets/s1p.7ts -L202.

10k 스냅이 있습니다

우리는 스냅이 아니라 앱 이미지에 대해 이야기하고 있습니다. 물론 Snap에는 위에서 참조한 것처럼 arg가 포함되어 있습니다. https://github.com/electron-userland/electron-builder/blob/df5d050e47f2030e48e65c0e3b542c3aec61e9de/packages/app-builder-lib/src/targets/s1p.7ts -L202.

당신이 옳습니다. 어떤 이유에서인지 그것이 appimage에서 수행되었다고 생각하고 재패키지 코드를 제거하고 샌드박스 없음을 추가했지만 다시 시도했는데 누락된 것을 확인했습니다. 그래서 내 빌드의 되돌리기를 추가했습니다. 공장. 죄송합니다. 내 corifeus-builder에서 내가 무엇을 하고 있는지 볼 수 있습니다. https://github.com/patrikx3/corifeus-builder/blob/master/src/utils/appimage/after-all-artifact-build.js

안녕하세요 @nornagon 이 문제가 얼마나 흔한 빠른 시작 자습서를 업데이트할 수 있습니까?

편집: 커뮤니티 격려 덕분에 FR #26478을 열었습니다.

@gabefair 합리적인 제안인 것 같습니다. PR 오픈에 관심이 있으십니까?