「sbx」を挟んだら、コマンドが最初から“全部禁止”で動いた
- 公開
- 正式公開 2025-04-17
- 作り手
- syumai（個人）
- 対応
- Mac
- 言語
- 英語
- 価格
- 無料（MIT ライセンス）
- 評価
- GitHub のスター 99（2026-10-16）
どんなアプリか
sbxis an easy-to-use command-line tool for running commands with macOS sandbox-exec policies using flag-based interface.syumai さん、GitHub の README
sbx は、macOS の sandbox-exec のポリシーを当てた状態でコマンドを実行するためのコマンドラインツールです。ポリシーはフラグで指定します。README には、littledivy さんの sh-deno に強く影響を受けたと書かれています。
何も指定しなければ、すべての操作が拒否されます。許可したい操作を対応するフラグで指定し、拒否したいものは deny- を頭に付けたフラグで指定します。
調べもののためにすべての操作を許可する –allow-all のフラグも用意されています。-all の付くフラグはその種類の操作をまとめて許可・拒否するもので、ほかのフラグにはパスをカンマ区切りで渡します。
フラグは、ファイルの読み取りと書き込み、ネットワークの受信と送信、プロセスの実行といった操作ごとに分かれています。パスは相対パスでも絶対パスでも指定できます。README には、カレントディレクトリの読み取りを許可して ls を動かす例が載っています。
料金とデータの置き場所
MIT ライセンスで公開されています。go install でインストールするか、リリースのページからバイナリをダウンロードして使います。
同じ分野のアプリ
| 名前 | 型 | 仕掛け | 対応 | 料金 |
|---|---|---|---|---|
| sbx | サンドボックス CLI | macOS の sandbox-exec のポリシーをフラグで指定して実行 | CLI（macOS） | 無料（MIT） |
| Cage | サンドボックス CLI | 読み取りは自由のまま、ファイルへの書き込みだけを制限 | CLI（Go、Linux・macOS） | 無料（OSS, Apache-2.0） |
| 小姑（kojuto） | パッケージ検査 | サンドボックスでインストールさせ、システムコール監視で悪性パッケージを見抜く | CLI（PyPI / npm、Docker 使用） | 無料（MIT） |
入れる前に
README では、sbx が非推奨になった機能（sandbox-exec）を使っていること、実験的で安定していないことが太字で注意されています。
ネットワークのフラグで扱えるプロトコルは ip に限られ、ホストに指定できるのは localhost か * です。-network のフラグを指定すると、unix ソケットへのアクセスも許可されます。
また、system.sb に定義された共通のシステム向けルールが暗黙に適用され、プロセスの実行に必要なため dylib へのアクセスも許可されます。