flatpak 就有一定的沙箱功能，并且还可以通过 flatpak override 来修改默认人配置（或者使用 flatseal 图形界面工具）

flathub 里也有别人打包好的 QQ 和 telegram 。比如 QQ：
https://github.com/flathub/com.qq.QQ/blob/master/com.qq.QQ.yaml

文件系统相关的部分只开放了
--filesystem=xdg-download
--filesystem=xdg-run/pipewire-0
--filesystem=/tmp
这 3 个地方

所以 flatpak 版的 QQ ，除非 QQ 偷偷地搞什么沙箱逃逸之类行为，默认是读取不到这几个以外的地方的。

python 会把被执行的脚本所在的目录插入到 sys.path 中，所以 import 都是相对于脚本所在位置计算的，所以一般入口脚本都是在项目根目录，其他东西都是相对于项目根目录。

如果你不想把入口脚本放在根目录，就利用 PYTHONPATH ，在里面加上项目根目录。

比如 PYTHONPATH=/whatever/comes/before/xxx_project/app python main.py

这样你的 import 都可以写成
```
from models import something
from crawler.scrapper_1 import something
```

而不管 main.py 在哪个位置

@kagenomirai github 的 2FA 有多种方式，其中一种是 TOTP ，基本原理就是给你一串密钥，然后你用这串密钥和时间作为参数生成验证码，验证码有效期通常为 30s 。根本不涉及隐私相关东西（邮箱/手机/生物信息等等），我反对强制手机验证，额外邮箱地址等涉及隐私的 2FA 方式，强烈支持不涉及隐私并拥有各种开源标准实现的 2FA 方式。

一定要说带来的麻烦的话，无非就是每次输入密码后还得额外打开一个 Authenticator app 来查看生成的验证码罢了。不知道为什么这会是很大的困难。而且 Authenticator 在各个平台都有很多开源的实现，只要做好 Authenticator app 数据的备份（加密后存在云端），不会造成很大的不方便。

对于已经使用密码管理器的人来说，这类用户离开了密码管理器也基本无法登录，额外一个 Authenticator app 不是太大问题。
而对于没有使用密码管理器的人来说，这类用户多半是在各个平台使用相同（相似）的密码才有办法记忆下来，更该强制这类用户使用 2FA 了。

@icyalala 感觉原文博主的逻辑也太无语了。2FA 不仅能给公司提供供应链安全保证，也能给非企业用户提供保证啊。