存储挂载路径有哪些约束

AgentArts运行时通过沙箱容器挂载外部存储资源。为确保沙箱安全隔离和数据一致性，存储挂载路径需遵循以下约束：

约束原理：

• 允许的父目录限制基于沙箱文件系统隔离策略，防止挂载到系统关键目录。
• 禁止路径穿越（..）防止挂载路径逃逸出沙箱边界，避免越权访问。
• 禁止路径冲突防止多个存储实例挂载到相同或嵌套路径，导致读写冲突或数据覆盖。

注意：多个挂载（包括OBS、SFS Turbo、会话存储之间）禁止使用相同或存在包含关系的路径。

路径冲突举例：会话存储已挂载到/home/session：

• OBS挂载到/home/session/output：冲突（子目录，存在包含关系）。
• OBS挂载到/home/session：冲突（重复路径）。
• OBS挂载到/home/obs-data：无冲突（同级不同目录）。