Firecracker 深度解读

AWS 开源的 microVM 引擎，所有 KVM-based 沙箱的底层同源技术。

一句话定位

AWS Lambda 和 Fargate 的隐形心脏——微虚拟化的”Linux 内核”，所有基于 KVM 的沙箱引擎的起点。

设计哲学上最精彩的地方

Firecracker 的核心思想是极端精简。传统 VM（QEMU）像一台完整的电脑——有 BIOS、USB 控制器、PCI 桥、声卡、显卡……Firecracker 把这些全砍了，只留 4 个 VirtIO 设备：

• 网卡（net）
• 磁盘（block）
• 串口（console）
• 定时器（timer）

这就是为什么它能做到 <5MB 内存和 ~125ms 启动。不是因为它用了什么黑魔法，而是因为它什么 Extra 都没带。

为什么这个设计在安全上极其聪明

每砍掉一个虚拟设备，攻击面就缩小一块。Firecracker 的攻击面只有几万行 Rust 代码，而 QEMU 是几十万行 C 代码。在 multi-tenant 场景下（AWS Lambda 跑别人的代码），攻击面大小直接决定安全评级。

Firecracker 在生态中的角色

它是”引擎供应商”而非”产品”。E2B 和 CubeSandbox 都在它之上封装。Firecracker 本身只暴露一个 REST API（通过 vsock），不提供 SDK、不提供文件系统视图、不提供代码执行接口——这些全留给上层去实现。

代码特征

• Rust 写，cargo 构建
• 单体二进制（单个 firecracker 进程）
• 代码量”数百文件”——比 gVisor 少一个数量级，因为大部分系统逻辑交给 Linux 内核做

一个容易被忽视的细节

Firecracker 的 OpenAPI 规范在 src/firecracker/swagger/firecracker.yaml 里——这意味着你可以直接生成客户端，也可以自己写工具。它的 API 设计极其干净，值得学习。

本地代码结构

firecracker/
  src/
    firecracker/
      swagger/
        firecracker.yaml    — REST API OpenAPI 规范
      # 核心 VMM 逻辑
    jailer/                  — 资源限制（seccomp/cgroup）
    rate_limiter/            — 带宽/IOPS 限速
    virtio_devices/          — 4 个 VirtIO 设备实现
  docs/
    design.md                — 架构设计文档
    getting-started.md       — 快速开始
    prod-host-setup.md       — 生产环境主机配置
  tools/
    devtool/                 — 开发容器和构建脚本

本地关键文件