如何撤销unshare CLONE_NEWNS操作，重新共享父挂载命名空间？

首先得明确一个核心点：Linux并没有提供直接“撤销”unshare(CLONE_NEWNS)的系统调用——毕竟挂载命名空间的设计初衷就是实现隔离。但我们可以通过预先保存父命名空间的引用，或者在父进程存活的情况下重新关联回去，来达到回到父挂载命名空间的效果。下面是两种可行的方案：

方案一：预先保存父挂载命名空间的文件描述符（最可靠） #

这是最稳妥的方式，因为我们在创建私有挂载命名空间之前，先把父命名空间的“入口”保存下来，之后随时可以通过它回去。

具体步骤 #

1. 在调用unshare(CLONE_NEWNS)之前，打开当前进程的挂载命名空间文件/proc/self/ns/mnt，并保存文件描述符：

   #include <fcntl.h>
   #include <unistd.h>
   #include <sys/wait.h>
   #include <sys/mount.h>
   #include <stdio.h>
   #include <stdlib.h>
   
   int main() {
       // 保存父挂载命名空间的fd
       int parent_mnt_fd = open("/proc/self/ns/mnt", O_RDONLY);
       if (parent_mnt_fd == -1) {
           perror("Failed to open parent mount namespace");
           exit(EXIT_FAILURE);
       }
   
       // 创建私有挂载命名空间
       if (unshare(CLONE_NEWNS) == -1) {
           perror("Failed to unshare mount namespace");
           close(parent_mnt_fd);
           exit(EXIT_FAILURE);
       }
   
       // 在这里做你的私有挂载操作，比如挂载一个临时文件系统
       if (mount("tmpfs", "/tmp/mytmp", "tmpfs", 0, "") == -1) {
           perror("Failed to mount tmpfs");
       }
   
       // 现在需要回到父挂载命名空间
       if (setns(parent_mnt_fd, CLONE_NEWNS) == -1) {
           perror("Failed to switch back to parent mount namespace");
           close(parent_mnt_fd);
           exit(EXIT_FAILURE);
       }
   
       // 验证：此时/tmp/mytmp应该不存在（因为回到了父命名空间的视图）
       if (access("/tmp/mytmp", F_OK) == -1) {
           printf("Successfully returned to parent mount namespace\n");
       }
   
       close(parent_mnt_fd);
       return 0;
   }
   

2. 当需要回到父命名空间时，调用setns()传入保存的文件描述符即可。

关键注意事项 #

• 调用setns()切换挂载命名空间需要CAP_SYS_ADMIN权限，或者进程以root身份运行，否则会返回EPERM错误。
• 如果是在多线程程序中调用unshare(CLONE_NEWNS)，整个线程组都会进入新的挂载命名空间，后续调用setns()也会影响整个线程组。

方案二：通过父进程的命名空间文件关联（应急方案） #

如果你之前没有预先保存父命名空间的文件描述符，那还有一个应急办法——只要父进程还在运行，你就可以通过父进程的/proc/[pid]/ns/mnt文件来关联回去。

具体步骤 #

1. 获取父进程的PID（可以用getppid()系统调用）。
2. 构造父进程挂载命名空间的路径，打开并调用setns()：

   #include <fcntl.h>
   #include <unistd.h>
   #include <sys/mount.h>
   #include <stdio.h>
   #include <stdlib.h>
   #include <string.h>
   
   int main() {
       // 创建私有挂载命名空间
       if (unshare(CLONE_NEWNS) == -1) {
           perror("Failed to unshare mount namespace");
           exit(EXIT_FAILURE);
       }
   
       // 应急：通过父进程回到父命名空间
       pid_t ppid = getppid();
       char parent_mnt_path[64];
       snprintf(parent_mnt_path, sizeof(parent_mnt_path), "/proc/%d/ns/mnt", ppid);
   
       int parent_mnt_fd = open(parent_mnt_path, O_RDONLY);
       if (parent_mnt_fd == -1) {
           perror("Failed to open parent's mount namespace (is parent process alive?)");
           exit(EXIT_FAILURE);
       }
   
       if (setns(parent_mnt_fd, CLONE_NEWNS) == -1) {
           perror("Failed to switch back to parent mount namespace");
           close(parent_mnt_fd);
           exit(EXIT_FAILURE);
       }
   
       printf("Successfully returned to parent mount namespace\n");
       close(parent_mnt_fd);
       return 0;
   }
   

局限性 #

• 这个方法完全依赖父进程存活，如果父进程已经退出，/proc/[pid]/ns/mnt文件会被删除，就无法使用了。
• 同样需要CAP_SYS_ADMIN权限或者root身份。

常见误区澄清 #

不要尝试用mount --make-shared或类似的挂载传播命令来“撤销”unshare——这些命令只是修改挂载点的传播属性，让不同命名空间之间的挂载操作同步，并不会让进程回到父命名空间。

内容的提问来源于stack exchange，提问作者ItsMe