サンドボックスの模型

パスの集合を $\mathrm{Path}$、ホストの集合を $\mathrm{Host}$ とする。操作は、書き込み $\mathsf{w}(p)$（$p \in \mathrm{Path}$）か接続 $\mathsf{c}(h)$（$h \in \mathrm{Host}$）である。サンドボックスの設定は、書き込めるパスの集合 $P \subseteq \mathrm{Path}$ と接続できるホストの集合 $H \subseteq \mathrm{Host}$ の組 $S = (P, H)$ で、許可された操作の集合を $\mathrm{Perm}(S) = \{\mathsf{w}(p) \mid p \in P\} \cup \{\mathsf{c}(h) \mid h \in H\}$ とする。

シェルコマンド $c$ を設定 $S$ のもとで実行すると、$c$ とその子プロセスが試みる操作のうち、$\mathrm{Perm}(S)$ に属するものだけが効果を持ち、属さないものは失敗する（OS による強制）。効果を持った操作の集合を、$c$ の効果 $\mathrm{Eff}_S(c)$ という。サンドボックスなしの実行では、試みた操作がすべて効果を持つ。その効果を $\mathrm{Eff}_{\varnothing}(c)$ と書く。