#!/usr/bin/execlineb -P
# "foreground", nicht "pipeline": beide trennen Befehle, aber pipeline heisst
# "die Ausgabe des Blocks in den Rest leiten" -- der Daemon am Ende der Kette
# erbte als stdin eine bereits geschlossene Pipe von s6-mkdir. Gemeint war
# schlicht "erst das Verzeichnis anlegen, dann weiter" (Befund aus dem
# execline-Audit aller run-Skripte, 2026-09-22; kaputt war es nicht, aber es
# stand da, als waere eine Pipe beabsichtigt).
foreground { s6-mkdir -p /var/lib/incus-lxcfs }

# Best-effort OOM protection: adjust our own PID inside foreground{} so the
# EACCES in unprivileged containers (no CAP_SYS_RESOURCE) doesn't abort the run.
getpid OURPID
importas -u OURPID OURPID
foreground { choom -n -1000 -p ${OURPID} }

run-script-daemon incus-lxcfs
