X11/Wayland环境下带全权限的多实例应用隔离方案问询

一、Chrome多独立实例的基础配置 #

Chrome原生支持通过指定独立用户数据目录创建完全隔离的实例，每个实例拥有独立配置、缓存与Cookie，进程相互独立，可避免OOM Killer误杀全部实例。

• 先为6个实例创建独立配置目录：

  mkdir -p ~/chrome-profiles/profile{1..6}
  

• 为每个实例编写启动脚本（如chrome1.sh至chrome6.sh），以chrome1.sh为例：

  #!/bin/bash
  google-chrome --user-data-dir="$HOME/chrome-profiles/profile1" --no-default-browser-check --new-window
  

  给脚本添加执行权限：

  chmod +x chrome{1..6}.sh
  

  核心参数--user-data-dir强制Chrome使用指定目录存储配置，每个实例的进程组相互独立，OOM Killer会单独评估每个实例的内存占用，不会将所有实例判定为单个进程批量终止。

二、剪贴板与桌面服务访问保障 #

通过上述方式启动的Chrome实例未做容器化隔离，默认共享当前桌面会话的X11/Wayland服务：

• 可直接从电子表格复制带格式的表格内容，粘贴至浏览器的所见即所得编辑器
• 不同Chrome独立实例之间也能正常跨实例复制粘贴，完全兼容桌面剪贴板上下文

三、USB设备访问支持（低优先级需求） #

若需让实例访问USB设备，只需确保当前用户拥有USB权限：

• 将用户加入plugdev组（多数发行版默认已配置，若未配置执行以下命令）：

  sudo usermod -aG plugdev $USER
  

• 重启桌面会话后，Chrome实例即可正常识别USB设备，支持Web端ESP32烧录工具访问RS232端口

四、OOM误杀的额外防护 #

虽然独立实例已实现进程隔离，仍可通过调整OOM得分进一步降低被误杀的概率：

• 修改启动脚本，为实例主进程设置更低的OOM得分（值越低，越不容易被OOM Killer选中）：

  #!/bin/bash
  google-chrome --user-data-dir="$HOME/chrome-profiles/profile1" --no-default-browser-check --new-window &
  # 需root权限执行，可将脚本配置为sudo免密或提前获取权限
  echo -1000 > /proc/$!/oom_score_adj
  

内容的提问来源于stack exchange，提问作者Kendrick