运行具有最小功能的子流程

Question

我需要在不受信任的文件上运行各种文本处理实用程序（如latex），作为某些构建脚本的一部分。如何在不需要root访问权限的情况下安全地执行此操作？我正在考虑编写一个删除特权/功能的Python脚本＆＃34;在运行这些实用程序之前，他们无法访问网络，以便将文件写入限制在一个或两个子目录中。

如果需要，我可以要求系统管理员安装额外的Debian软件包。