在Replit中启用seccomp严格模式时遭遇"Invalid Argument"错误

问题根源 #

你的prctl(PR_SET_SECCOMP, SECCOMP_MODE_STRICT)返回EINVAL，核心原因是Linux内核要求启用seccomp严格模式前，必须先设置PR_SET_NO_NEW_PRIVS标记，没有这个前置步骤，内核会直接拒绝启用请求。另外也需要排查Replit平台的环境限制。

修复步骤 #

1. 添加PR_SET_NO_NEW_PRIVS前置设置 #

修改代码，在调用PR_SET_SECCOMP前先设置禁止进程新增权限，这是启用seccomp严格模式的强制要求。完整代码如下：

#include <stdio.h>
#include <unistd.h>
#include <sys/prctl.h>
#include <linux/seccomp.h>

int main(){
    // 先设置禁止新增权限，为seccomp启用做准备
    if (prctl(PR_SET_NO_NEW_PRIVS, 1, 0, 0, 0) == -1) {
        perror("prctl(PR_SET_NO_NEW_PRIVS) failed");
        return 1;
    }
    // 启用seccomp严格模式
    if (prctl(PR_SET_SECCOMP, SECCOMP_MODE_STRICT) == -1) {
        perror("prctl(PR_SET_SECCOMP) failed");
        return 1;
    }

    printf("Message #1\n");
    fork(); // 会被seccomp拦截，触发SIGSYS信号终止进程
    printf("Message #2\n");
}

修改后重新运行，fork()会被拦截，程序不会打印两次Message #2。

2. 排查Replit环境限制 #

如果修改后仍然失败，大概率是Replit平台的容器策略限制：

• 可以通过执行grep SECCOMP /proc/sys/kernel/seccomp查看环境状态，返回0说明当前环境禁用了seccomp支持。
• Replit的沙箱容器可能直接禁止进程调用PR_SET_SECCOMP，这种情况下无法使用严格模式。

替代方案（环境受限场景） #

若Replit确实限制了严格模式，可以改用seccomp过滤模式（SECCOMP_MODE_FILTER），通过BPF规则自定义允许的系统调用，灵活性更强。示例代码框架如下：

#include <stdio.h>
#include <unistd.h>
#include <sys/prctl.h>
#include <linux/seccomp.h>
#include <linux/filter.h>
#include <linux/bpf.h>

int main(){
    if (prctl(PR_SET_NO_NEW_PRIVS, 1, 0, 0, 0) == -1) {
        perror("prctl(PR_SET_NO_NEW_PRIVS) failed");
        return 1;
    }

    // 构建BPF规则：仅允许write、exit、exit_group系统调用
    struct sock_filter filter[] = {
        BPF_STMT(BPF_LD+BPF_W+BPF_ABS, offsetof(struct seccomp_data, nr)),
        BPF_JUMP(BPF_JMP+BPF_JEQ+BPF_K, __NR_write, 0, 3),
        BPF_JUMP(BPF_JMP+BPF_JEQ+BPF_K, __NR_exit, 0, 2),
        BPF_JUMP(BPF_JMP+BPF_JEQ+BPF_K, __NR_exit_group, 0, 1),
        BPF_STMT(BPF_RET+BPF_K, SECCOMP_RET_KILL_PROCESS),
        BPF_STMT(BPF_RET+BPF_K, SECCOMP_RET_ALLOW),
    };
    struct sock_fprog prog = {
        .len = (unsigned short)(sizeof(filter)/sizeof(filter[0])),
        .filter = filter,
    };

    if (prctl(PR_SET_SECCOMP, SECCOMP_MODE_FILTER, &prog) == -1) {
        perror("prctl(PR_SET_SECCOMP) failed");
        return 1;
    }

    printf("Message #1\n");
    fork(); // 会被BPF规则拦截，进程终止
    printf("Message #2\n");
    return 0;
}

内容的提问来源于stack exchange，提问作者Eric Xue