共享X11套接字的Docker：为什么它可以在容器之外“启动”Firefox？

Question

我有以下场景:

1. 我设置了一个可以访问X11套接字的Docker容器，实际上我这样做了：https://stackoverflow.com/a/25334301
2. 然后，我在容器中安装了Firefox，并使用bash中的“Firefox”命令启动它

我注意到:如果当我在容器中启动Firefox时，它已经在我的主机上运行了，那么它实际上“逃离”了容器，因为它只是打开了Firefox的主机实例的一个新窗口。因此，它可以访问主机上的所有内容，容器变得毫无用处。

反之亦然：如果Firefox没有在主机上运行，而我在容器中启动了一个实例，那么它实际上是在容器中运行的。如果我随后在主机上启动Firefox，那么新实例也在容器内运行。

然而，我无法用gvim而不是Firefox重现这种行为。

我很清楚X11套接字共享固有的安全问题，但是我无法解释我上面描述的场景。为什么容器可以在其受限环境之外启动一个“进程”——或者更确切地说是一个窗口？我的主机系统怎么可能仅仅因为同一个程序已经在容器中运行，就在容器中启动一个进程呢？

(请注意，除了“进程”，我不知道如何调用这样一个程序的图形化实例，尽管在这种情况下它可能不是一个真正的html" target="_blank">进程...)

系统：Ubuntu GNOME 14.10，Docker 1.5，ubuntu：最新的Docker镜像。

更新：如果我使用-new-example标志启动Firefox，则不会发生这种情况，因此它似乎更多的是Firefox问题而不是X11套接字问题。

更新2：似乎在其他场景中也会发生这种情况，例如将ssh与X-转发一起使用：
https://unix.stackexchange.com/questions/104476/why-starting-firefox-from-command-line-in-vm-starts-the-firefox-in-the-host-ma
和
https://superuser.com/questions/462055/launching-firefox-on-remote-server-causes-local-firefox-to-open-the-page-instead

现在的问题是，火狐到底是怎么做到的？他们使用哪种 X11 巫术来查明 Firefox 是否已经在运行？

Answer 1

因为您将x11套接字转发到容器中，所以任何图形程序，无论是在容器内部还是外部，都将与同一个Xorg服务器进行对话。这与将ssh与X-forwarding一起使用时是一样的。

现在假设一个firefox实例已经启动并与该xserver通信。如果我们是第二个启动的firefox进程，我们可以通过从根目录导航窗口树来找到第一个进程。我们可以通过设置在firefox窗口上的一些属性来识别属于firefoxs的窗口。一旦我们找到属于firefox的窗口，我们可能会向拥有该窗口的进程发送一条消息，要求它添加一个新选项卡。

也许，如果我们找到这样一个流程并要求它打开一个新的选项卡，我们就会随着工作的完成而消失。

当然，我们总是可以只看源代码，发现火狐确实基本上做到了这一点。特别是他们：

• 查找现有窗口
• 然后通知它

但他们不会通过客户端消息通知它。他们通过更改窗口属性来执行此操作。据推测，创建窗口的进程也会订阅属性更改通知。如果您感到好奇，代码的完整路径是：

• 从解析命令行开始，StartRemote teClient
• 它创建一个客户端（注意他们也通过d-bus/wayland执行此操作），然后调用SendCommand dLine（）
• 这是一个虚函数，所以找到它覆盖了XRemoteClient
• 在那里您可以看到它在哪里调用链接到FindBestWindow（）和DoSendCommand dLine（）的前两个函数。