如何创建用于运行 untrusted code 的沙盒

[SakuraSa]

最近在写一个类似于 OJ 的系统，
希望能够安全地运行用户上传的代码（不允许访问网络、文件，只能通过 stdin , stdout 交互）

现在我用 pypy-sandbox 实现了 python 代码的沙盒运行（不知道这样限制是不是安全？）
其他类型的语言，我现在计划用 docker 充当沙盒。（这样实现简单，但是感觉似乎不安全？）

请问，用 docker 充当沙盒的做法是不是安全呢？
还有什么更好的解决方案呢？
（chroot限制路径 + rlimit限制资源 + ptrace拦截系统调用 的方案如何？ ptrace 应该拦截那些函数呢？）

谢谢~