Как лучше реализовать изолированную установку программ?

Есть готовые решения?

http://wiki.gentoo.org/wiki/Project:Sandbox

http://devmanual.gentoo.org/general-concepts/sandbox/

а разве после установки в систему не привносится угроза?

или у тебя песочница перманентная? и там в песочнице установленный софт живет?

ищи языки, реализующие песочницы чтобы можно было выполнять скрипты на уровне контроля выполнения операторов команд вызовов или сделай свой язык реализующий требования песочницы

например скрипт который умеет только распаковать и скопировать, но проблема в том, что при распаковке может быть переполнение буфера...

Есть идея держать копию корня в отдельном каталоге, но с другим юзером, и в чруте устанавливать туда программы, и на основании разницы в файлах, делать лог установленных файлов.
Но есть несколько вопросов:
опять же, как отслеживать файлы, которые уже были, как часть другого пакета, которых если б не было, последний установленный пакет создал бы?

правильно ли устанавливать ПО не рутом?

может ли юзер из чрут окружения повлиять на корневую систему (через /dev, /sys, /proc, или как-то ещё...) ? Может ли юзер из чрут окружения выбраться с помощью chroot, mount, как-то ещё? Как это не допустить?

в линуксе куча технологий для sandbox-инга

про LD_PRELOAD писал. насколько оно надёжно?

какие? vm?
а ведь это идея! мой пред-предыдущий комментарий + vm

а разве после установки в систему не привносится угроза?

при чём здесь угроза? речь про пакетный менеджер

какая виртуализация для этого больше всего подойдёт? чтоб можно было полностью всё управлять скриптом, запущенным хост-системой

Собираюсь создать пакетный менеджер на языке shell-scripting, возник вопрос изолирования процесса установки файлов в систему после компиляции.

Какая связь между компиляцией и пакетным менеджером?

Наверное тебе нужен fakeroot. Ты бы описал задачу, а то пока это выглядит как велосипед велосипедов

ну это будет source-based пакетный менеджер

Это академический проект? Иначе нет смысла, есть abs/aur с тысячами пакетов и готовой системой сборки. На входе простенький файл с описанием - на выходе готовый пакет.

простенький файл с описанием

скорее махровый bash скрипт

а вот тебе идея позаниматься школьными вечерами — раз уж для каждого пакета всё равно пилится скрипт сборки, запускающий апстримную систему сборки, то выкинуть последнюю и запускать конпилер прямо из пакетного менеджера, игнорируя autotools/мэйкфайлы. из плюсов будет значительное улучшение параллельности сборки

ну и секурнее, тк не запускается посторонний код

игнорируя autotools/мэйкфайлы

а разве создателю тарбола не виднее, что и как собирать? или ты предлагаешь прочитывать все исходники перед компиляцией?

конечно, а какая же иначе security лол

на самом деле никаких особых дел скрипты сборки не делают, в 99% случаев там просто $compilername $sourcefile а потом все обьектники линкуются в одну либу/бинарь. нужно просто определить все дефайны — что уже делается в виде в виде юз флагов. из особых фокусов можно вспомнить только версионирование символов линкером в glibc и fuse

Каким образом это лучше осуществить?

Кури sys-apps/sandbox в Gentoo. Можно еще дунуть в sys-apps/proot. Я имею ввиду в исходники, если ты озадачился написать пакетный менеджер сам и не привлекать внешние утилиты.

Транслятор из PKGBUILD в декларативный формат был бы интересен. Понятно, что он будет работать далеко не на всём, но многие пакеты написаны по одному шаблону и вытащить их из ABS/AUR — вполне достаточно для немаленького репозитория.

А зачем нужен декларативный формат? Под все дистрибутивы всё равно не получится собирать пакеты, под определённый что-то можно поправить по другому(пути директорий)

Попробуй unionfs использовать. Ориджинал-корень в ro-ветвь, rw-ветвью пусть будет изначально пустая директорией. После установки посмотришь, какие там файлы появились.

I hope you got it.

может ли юзер из чрут окружения повлиять на корневую систему (через /dev, /sys, /proc, или как-то ещё...) ? Может ли юзер из чрут окружения выбраться с помощью chroot, mount, как-то ещё? Как это не допустить?

Ты уж определись, тебе нужно просто отследить, какие файлы ставятся и софту ты, в принципе, доверяешь. Или тебе нужно создать песочницу для недоверенного, потенциально небезопасного софта.