如前所述，有两种方式可以表示过滤器

1. JSON（在json_format.md中记录）；
2. Rust代码（由库记录）。

以下提供了两种表示方法的示例，用于与上述图表等效的过滤器

示例JSON过滤器

{
    "main_thread": {
        "mismatch_action": "kill_process",
        "match_action": "allow",
        "filter": [
            {
                "syscall": "accept4"
            },
            {
                "syscall": "fcntl",
                "args": [
                    {
                        "index": 1,
                        "type": "dword",
                        "op": "eq",
                        "val": 2,
                        "comment": "F_SETFD"
                    },
                    {
                        "index": 2,
                        "type": "dword",
                        "op": "eq",
                        "val": 1,
                        "comment": "FD_CLOEXEC"
                    }
                ]
            },
            {
                "syscall": "fcntl",
                "args": [
                    {
                        "index": 1,
                        "type": "dword",
                        "op": "eq",
                        "val": 1,
                        "comment": "F_GETFD"
                    }
                ]
            }
        ]
    }
}

请注意，JSON文件需要为每个过滤器指定一个名称。虽然在上面的示例中只有一个（main_thread），但其他程序可能使用多个过滤器。

基于Rust的过滤器示例

SeccompFilter::new(
    // rule set - BTreeMap<i64, Vec<SeccompRule>>
    vec![
        (libc::SYS_accept4, vec![]),
        (
            libc::SYS_fcntl,
            vec![
                SeccompRule::new(vec![
                    Cond::new(1,
                        SeccompCmpArgLen::Dword,
                        SeccompCmpOp::Eq,
                        libc::F_SETFD as u64
                    )?,
                    Cond::new(
                        2,
                        SeccompCmpArgLen::Dword,
                        SeccompCmpOp::Eq,
                        libc::FD_CLOEXEC as u64,
                    )?,
                ])?,
                SeccompRule::new(vec![
                    Cond::new(
                        1,
                        SeccompCmpArgLen::Dword,
                        SeccompCmpOp::Eq,
                        libc::F_GETFD as u64,
                    )?
                ])?
            ]
        )
    ].into_iter().collect(),
    // mismatch_action
    SeccompAction::KillProcess,
    // match_action
    SeccompAction::Allow,
    // target architecture of filter
    TargetArch::x86_64,
)?

示例用法

在应用程序中使用seccompiler是一个两步过程

1. 编译过滤器（到BPF）
2. 安装过滤器

编译过滤器

用户应用程序可以在运行时或构建时将seccomp过滤器编译成可加载的BPF。

在运行时，这个过程很简单，通过利用seccompiler库中的硬编码/基于文件的过滤器函数。

在构建时，应用程序可以使用一个cargo构建脚本，将seccompiler作为构建依赖项，并将编译后的过滤器输出到预定义的位置（例如，使用env::var("OUT_DIR")）已序列化为二进制格式（例如，bincode）。然后，可以使用include_bytes!将它们包含到应用程序中，并在安装之前进行反序列化。如果使用低开销的二进制格式，此构建时选项可以用于从应用程序启动时间中减去过滤器编译时间。

无论编译时间如何，过程都是相同的

对于JSON过滤器，使用compile_from_json()函数进行编译到可加载的BPF。

let filters: BpfMap = seccompiler::compile_from_json(
    File::open("/path/to/json")?, // Accepts generic Read objects.
    seccompiler::TargetArch::x86_64,
)?;

BpfMap是库公开的另一种类型，它将线程类别映射到BPF程序。

pub type BpfMap = HashMap<String, BpfProgram>;

请注意，为了使用JSON功能，您需要在导入库时添加json功能。

对于Rust过滤器，只需从SeccompFilter到BpfProgram执行try_into()转换即可。

let seccomp_filter = SeccompFilter::new(
    rules,
    SeccompAction::Trap,
    SeccompAction::Allow,
    seccompiler::TargetArch::x86_64
)?;

let bpf_prog: BpfProgram = seccomp_filter.try_into()?;

安装过滤器

let bpf_prog: BpfProgram; // Assuming it was initialized with a valid filter.

seccompiler::apply_filter(&bpf_prog)?;

值得注意的是，安装过滤器不会获得BPF程序的所有权或使其无效，这是由于内核在安装之前对程序执行了copy_from_user。

功能文档

docs.rs上的文档不包括功能门控的json功能。

要查看包括可选的json功能的文档，您可以运行：cargo doc --open --all-features

Seccomp最佳实践

• 在安装过滤器之前，请确保当前的内核版本支持过滤器的操作。这可以通过检查cat /proc/sys/kernel/seccomp/actions_avail的输出或通过调用seccomp(SECCOMP_GET_ACTION_AVAIL)系统调用来检查。

• 建议使用允许列表方法为seccomp过滤器，只允许应用程序所需的最低系统调用集。这比拒绝列表更安全、更健壮，因为每当内核添加新的危险系统调用时，都需要更新拒绝列表。

• 在确定应用程序所需的一组系统调用时，建议彻底运行所有代码路径，同时使用strace或perf进行跟踪。还重要的是要注意，应用程序很少直接使用系统调用接口。它们通常使用libc包装器，根据实现的不同，它们可能会为同一功能使用不同的系统调用（例如，open与openat）。

• Linux 支持在线程/进程中安装多个 seccomp 过滤器。它们会按顺序进行评估，并选择最严格的操作。除非您的应用程序需要在线程上安装多个过滤器，否则建议拒绝 prctl 和 seccomp 系统调用，以避免恶意行为者进一步限制已安装的过滤器。

• Linux vDSO 通常会导致一些系统调用完全在用户空间中运行，绕过 seccomp 过滤器（例如 clock_gettime）。如果使用但未允许这些系统调用，在运行不支持相同 vDSO 系统调用的机器上可能会导致失败。如果可能，建议在未安装 vDSO 的机器上测试 seccomp 过滤器。

• 为了最小化系统调用开销，建议启用 BPF 即时编译器。在 BPF 程序加载后，内核会将 BPF 代码转换为原生 CPU 指令，以实现最大效率。可以通过以下方式配置：/proc/sys/net/core/bpf_jit_enable。