sandbox-exec：拒絕網絡訪問，但允許套接字

Question

我正在使用MacOSX的sandbox-exec來拒絕命令的網絡訪問（如在this article中描述的那樣）。

不幸的是這似乎也是否定的MySQL訪問它的插座：

Can't connect to local MySQL server through socket '/tmp/mysql.sock' 

輪廓文件的沙箱EXEC是這樣的：

(version 1) 
(allow default) 
(deny network*) 

有沒有辦法來限制只有TCP /互聯網網絡訪問但保持套接字訪問不變？

Answer 1

找到了。該配置文件必須包含(allow network-outbound (to unix-socket))：

(version 1) 
(allow default) 
(deny network*) 
(allow network-outbound (to unix-socket))