直接运行二进制正常，但execve调用失败的Nix环境问题排查

• 检查chroot环境的execve权限与seccomp规则：部分容器或chroot环境会通过seccomp过滤execve系统调用，或限制特定路径的执行权限。用strace -e execve,access,openat nix-channel --update进一步追踪文件访问流程，查看execve前是否有访问被拒绝的情况，或是否存在文件能力（capabilities）缺失导致无法执行。
• 验证chroot环境的文件系统一致性：
  • 查看/usr/bin/nix-env的文件属性，确认它具备可执行权限（ls -l /usr/bin/nix-env检查权限位是否含x），且所在挂载点未被设为只读或noexec。
  • 用findmnt -T /usr/bin/nix-env查看该文件所在挂载的属性，排查是否因overlayfs等分层文件系统导致实际路径与可见路径不一致。
• 排查环境变量对execve的影响：nix-channel执行nix-env时可能修改了环境变量（如PATH、LD_LIBRARY_PATH或NIX_*系列变量），导致execve调用上下文异常。可以在nix-channel脚本中临时添加env命令输出全部环境变量，对比手动执行nix-env时的环境差异。
• 确认chroot伪文件系统挂载状态：检查/proc、/sys等伪文件系统是否在chroot环境中正确挂载。缺少这类伪文件系统可能导致execve无法正常解析进程信息，可通过mount输出确认挂载状态。
• 检查二进制文件的路径与符号链接：用readlink -f /usr/bin/nix-env确认该文件不是指向chroot外部的软链接——如果链接目标在chroot隔离范围外，execve会因无法访问而返回ENOENT。
• 测试最小化execve调用：编写一个简单的C程序直接调用execve执行/usr/bin/nix-env，若同样报错则说明是chroot环境本身的execve问题；若不报错，则重点排查nix-channel脚本的逻辑。

内容的提问来源于stack exchange，提问作者Garry