Compton 与 Wayland 的安全风险与取舍
一、背景与定位
- Compton 是 X11 时代的合成器/窗口管理器（常作为 Xorg 的轻量合成器），职责是离屏渲染、阴影/透明等特效与最终合成。它并不改变 X11 的安全模型，应用程序若取得 X11 访问权，仍可能被其他程序监听输入或截取屏幕。
- Wayland 是 X11 的现代替代协议，核心思路是由“合成器（Compositor）”直接作为显示服务器与客户端通信，合成器掌握窗口层级与输入路由，原则上可避免“全局输入/全局截屏”的历史问题。
以上差异决定了两者在安全边界上的根本不同：Wayland 的设计目标更安全，但仍依赖具体实现与扩展；Compton 的安全取决于底层 X11 的权限与访问控制。
二、主要风险对比
| 风险维度 |
X11 + Compton |
Wayland |
| 输入机密性/完整性 |
传统 X11 允许任意客户端监听全局键盘/鼠标事件；存在“虚拟键盘可全局注入”的历史问题（如 DRI1 时代重绘攻击、XF86ClearGrab 相关缺陷）。Compton 作为合成器运行在同一 X 会话中，无法从协议层面阻止这些风险。 |
合成器基于窗口归属进行输入路由，内核将 /dev/input 与 /dev/uinput 的访问限制为 root，在“无扩展”前提下可阻止跨应用输入注入与窃取。 |
| 屏幕截取/录屏 |
在 X11 下，拿到 Xauthority 的客户端可截获其他窗口缓冲；Compton 不提供强制的跨进程隔离。 |
协议默认不提供“全局截屏”，需通过 xdg-desktop-portal 等受控接口授权；若应用绕过或权限配置不当，存在被滥用风险。 |
| 沙箱与权限隔离 |
可选 Xephyr 嵌套沙箱，但跨沙箱共享与权限粒度较粗，运维复杂。 |
安全边界更清晰，但不同桌面/合成器扩展不一致，某些场景需要额外权限协商。 |
| 虚拟键盘与可访问性 |
X11 广播输入，虚拟键盘可注入到任意窗口。 |
合成器可限制输入目标，但可访问性/辅助功能需通过专用扩展与权限协商，否则功能受限。 |
| 客户端隔离与可用性 |
同一用户会话内应用默认可互相窥视/干扰，影响机密性与可用性。 |
同会话内隔离更强，但极端情况下（如合成器崩溃）可能影响所有客户端可用性。 |
| 实现差异与兼容性 |
行为相对稳定但安全性受限。 |
各桌面/合成器扩展差异导致功能与安全性“碎片化”，部分工具需要适配或回退到 X11。 |
三、容易被忽视的实现与配置风险
- 缓冲区句柄猜测/重用（Weston/GEM）：早期 Weston 使用 GEM 以 32 位句柄在合成器与客户端间共享缓冲区，存在被猜测或暴力尝试复用的理论风险，影响输出保密性与完整性。实际可利用性依赖具体驱动与版本，但在设计层面已被视为需要注意的薄弱点。
- 扩展与接口滥用：Wayland 通过 xdg-desktop-portal 提供屏幕共享/截屏、文件选择等能力。若策略宽松或被恶意应用诱导授权，会造成信息泄露；反之，过严的策略会破坏合法工作流（如远程协助、录屏）。
- 权限与特权边界：Wayland 将输入设备访问收敛到 root 与合成器，但若系统配置错误（如过度放权给会话或容器），仍可能导致提权或横向移动。
- 可访问性与自动化工具兼容性：Wayland 有意弱化“全局操作”能力，导致 xdotool/xkill/xclip 等工具与部分自动化/全局快捷键在 Wayland 会话下受限或失效，若以不安全方式回退或绕过，会引入新的攻击面。
四、降低风险的可操作建议
- 在需要更强隔离与审计的场景，优先选择 Wayland 会话，并配合 xdg-desktop-portal 的细粒度权限提示与策略（仅对可信应用授予截屏/录屏/全局快捷键等权限）。
- 对遗留或兼容性要求高的应用，使用 Xorg 会话 时尽量以最小权限运行，避免在同一会话中混用不受信任软件；必要时采用容器/沙箱并限制其 X11 授权（如 xauth 最小化授权、隔离 MIT-SHM 共享内存）。
- 桌面环境选择上，优先使用具备成熟 Wayland 支持与及时安全更新的 GNOME/KDE 等实现，并保持系统与组件（合成器、Portal、输入栈）为最新稳定版本。
- 组织侧建议：为远程桌面/录屏/协助建立“白名单+审批+时限”流程，启用会话录屏审计，定期核查扩展与权限配置基线。
