是否预计 firejail 允许在没有“--overlay”标志的情况下在沙箱外进行读写？

Question

刚刚在 Ubuntu 16.04（版本0.9.38）上安装了firejail，根据这篇linux-magazine文章，默认情况下它应该使R/O成为整个文件系统：

沙箱中的程序只能读取所有目录，因此无法操作任何重要文件。

现在，我在我的电脑上尝试了以下操作：

1. touch /disk5/test.txt
2. firejail gvim /disk5/test.txt
3. 修改文件并保存 ( wq!)
4. cat /disk5/test.txt
5. 确实显示了在firejail会话期间由gvim所做的更改！

这是预期的行为吗？firejail不是应该保护我免于覆盖原始文件吗？我做错了什么？请注意，/disk5它安装在根文件系统中，在我的/home.

在github上提出了一个错误

Answer 1

为什么要将程序保存在非标准 Unix 目录（例如 /disk5）中？你绝对是在自找麻烦。将可执行文件存储在常规位置，例如 /bin、/usr/bin。/usr/local/bin，甚至/opt。确保所有可执行文件均由 root 用户拥有，并且普通用户没有对它们的写访问权限。Linux是一个Unix系统，只要遵循Unix规则就可以安全。