Монтирование ro = true запрещает любые записи — включая
создание файлов рядом. Скрипт, пытающийся писать в /src, получит
EROFS и, скорее всего, упадёт честно.
Полезный паттерн: дать скрипту «домашний каталог» в tmpfs и вытащить результаты только при успехе:
[mounts]
"/home" = { tmpfs = true, on_exit = "keep-if-ok" }При ok содержимое переносится в ~/.ostrovnoy/keep/,
при падении — удаляется с логом.
~/.ssh,
~/.config или Docker-сокета внутрь песочницы — способ выдать всё
закрытое. Островной помечает такие монтирования предупреждением в выводе и в
журнале запусков.Если скрипту нужны ключи — пробросьте только необходимый файл с
ro = true и коротким сроком жизни.