Sandboxing Javascript代碼

Question

我正在使用Javascript進行遊戲，我希望能夠包含一個修改API。我如何允許開發人員使用我的API執行任意代碼，同時防止他們進行惡意活動（竊取cookie，重定向到惡意網站）？

Answer 1

有一個project by Google，旨在讓你做這樣的事情。

Answer 2

我正在處理類似這樣的事情，我的解決方案是運行腳本里面的一個iFrame指向一個子域（http://bar.foo.com）而不是主站點（http：///foo.com）。輸入通過url＃fragment＃標識符提供給腳本，並通過指向原始名稱的嵌套的不可見iFrame的URL片段標識符提供輸出。

請記住，即使您看不到它，也可以設置子框架的URL，並且如果它位於同一個域中，則始終可以檢查框架的特定URL。