虚拟机、容器与沙盒技术有什么区别？

首先，什么是沙箱？

它本身就是一种线下生活现象的虚拟化。现实世界里，小孩子们在沙地、沙滩上用木板隔离出一个方盒子，在盒子里堆砌、创造各种东西 - 城堡、房屋、山丘... 这就是一个沙箱。

它有两个根本特点：

1、它有边界，通过木板设定了游戏创造的范围只在围墙内；

2、它的游戏材料是沙，任何的创造，一抹就平，瞬间无影无踪不留痕迹。

这两个特点，在计算机世界被模拟了。在一台设备（不管是一台服务器还是一个手机，我们称之为“宿主”）中，通过软硬件手段的结合，可以模拟出一个“管控”区域，它的里面是预先指定、划分出来的运算与存储资源，与宿主的其他资源完全隔离。应用代码可以被丢到这个区域里运行，即使它是病毒、木马、DDoS攻击软件，它也只能在这么一个资源受限的模拟世界折腾，它就像在Matrix里的人，看不到宿主里其他的平行世界，甚至不知道宿主的存在，无法滥用宿主资源从而毁灭宿主（和其他平行世界）。此外，任何这样的区域，既然是模拟的，不管里面跑着什么，都可以被“一键删除”，一切归零。

虚拟机、容器和沙箱的关系

虚拟机和容器技术都可以看作是沙箱的不同表现。

虚拟机和容器。前者是对硬件的虚拟化，后者则更像是操作系统的虚拟化。两者都提供了沙箱的能力：虚拟机通过硬件级抽象提供，而容器则使用公共内核提供进程级的隔离。

不过严格来讲，虚拟机是可以视为安全沙箱的，但是容器技术还差点意思，理由如下：

• 虚拟机模拟出一整台服务器或者桌面电脑，你可以在里面跑企业服务、也可以在里面打游戏，并不能影响宿主的安全稳定运行，你也可以把这个虚拟机一键删除，不管里面安装了什么东西。
• 容器类技术，诸如docker、LXC等，有沙箱隔离的特点，但因为共享宿主操作系统的内核，并不提供彻底全模拟的环境，所以往往并不被视为安全沙箱。

近期深度了解了一下前端安全沙箱技术—— FinClip，这是一种嵌入式安全沙箱，又被称之为小程序容器，它的本质其实是建立在Security Capability model基础上的浏览器内核的扩展，其沙箱的特点，体现在三个方面：

1. 沙箱内小程序之间的隔离
2. 沙箱对运行其中的小程序代码，隔离其对宿主环境的资源访问。
3. 沙箱隔离了宿主对于沙箱中运行的小程序所产生的数据。

这种安全沙箱中运行的主要是轻应用、小程序，在应用范式上兼容互联网主流的小程序规范，应用落地的门槛很低，能迅速投入应用。对于对接大量外部应用的企业来说，这个设计是非常巧妙的。换句话说，不管小程序的“供应商”是谁，它们的代码都被隔离、同时也被保护在沙箱环境中。