如何使用Nix启动仅挂载当前目录的类容器nix-shell环境

当然可以用Nix实现你想要的这种受限类容器环境！Nix提供了原生工具来创建隔离性强、仅包含指定依赖的shell，完美契合你提到的需求——只挂载当前目录、仅提供指定包、可选禁用网络，还能和宿主共享Nix Store的存储，不用额外占用空间。下面给你详细讲具体的实现方式：

基础实现：用nix-shell创建容器化环境 #

你可以直接用nix-shell搭配几个核心参数快速生成环境，每个参数的作用如下：

• -p <包名>：指定你需要安装的包（可以同时写多个，比如-p python3 git）
• --pure：清除宿主的环境变量，保证环境干净，只保留Nix运行必需的变量
• --container：启用容器模式，默认隔离宿主的大部分文件系统，仅挂载/nix/store（这是Nix运行的核心依赖，属于你说的「严格必要」部分）
• --bind "$PWD"：把当前目录挂载到容器内的相同路径，让你能访问当前目录的文件

举个实际例子，如果你想创建一个包含python3和curl的隔离shell，且仅挂载当前目录：

nix-shell -p python3 curl --pure --container --bind "$PWD"

禁用网络访问 #

如果需要禁用容器的网络权限，只需要在命令里加上--no-network参数即可，这样容器内就无法访问外部网络了：

nix-shell -p python3 curl --pure --container --bind "$PWD" --no-network

自定义挂载路径和工作目录 #

如果你想把当前目录挂载到容器内的指定路径（比如/pwd），并且默认进入该目录，可以调整命令如下：

nix-shell -p python3 curl --pure --container --bind "$PWD:/pwd" --command "cd /pwd && $SHELL"

更现代的方式：用nix develop（Nix 2.4+） #

如果你用的是Nix 2.4及以上版本，推荐使用nix develop命令——它是Nix Flakes生态的一部分，功能更强大灵活。比如直接创建包含指定包的隔离环境：

nix develop nixpkgs#python3 nixpkgs#curl --pure --container --bind "$PWD" --no-network

如果你的项目有flake.nix配置，还可以在配置里预先定义好开发环境，之后直接运行nix develop --pure --container就能复用配置，非常适合长期维护的项目。

和Docker/Guix的对比优势 #

正如你提到的，用Nix做这件事的优势很突出：

• 共享存储：容器里的包直接复用宿主的Nix Store，不用像Docker那样下载独立镜像，节省大量磁盘空间
• 丰富的包生态：Nixpkgs的包数量远超Guix，几乎能找到你需要的所有软件
• 环境一致性：不管在哪台机器上运行，只要是同一个Nix配置，得到的环境完全一致

备注：内容来源于stack exchange，提问作者P Varga