Seccomp （Secure Computing Mode）是 Linux 内核提供的安全机制，通过过滤进程的系统调用（syscall）限制其权限，增强应用安全性。它基于 Berkeley Packet Filter（BPF），允许管理员定义黑白名单规则，阻止危险操作（如文件删除、网络访问）。Seccomp-BPF 是其增强版，支持复杂条件匹配，广泛用于容器（如 Docker、Kubernetes）、沙箱环境（如 Chrome 浏览器）及高安全需求场景，通过最小权限原则减少漏洞利用风险。