使用 bwrap 为其提供基本的存储访问隔离，同时集成一些其它小功能