如何在node.js沙箱中安全地運行用戶提交的腳本？

Question

在node.js中安全地運行（可能是惡意的）用戶提交的腳本有哪些選項？即在阻止代碼訪問敏感數據和API的環境中？

vm.runInNewContext(userScript, {})是一個誘人的起點...但它似乎有known issues那裏。

sandbox module看起來很有趣，但也使用runInNewContext()，所以我有點懷疑它。

Answer 1

您應該始終在單獨的進程中運行不受信任的代碼，這正是沙箱模塊所做的。一個簡單的原因是會凍結節點。

它首先生成一個單獨的進程，稍後將結果序列化爲JSON的stdout。無論孩子做什麼，父進程都會繼續執行，並可能觸發超時。

然後將不可信代碼封裝在strict mode（在常規JavaScript中，您可以使用arguments.callee.caller訪問範圍之外的數據）。最後，傳遞一個非常有限的global對象來阻止訪問節點的API。不受信任的代碼只能進行基本計算，並且無法訪問文件或套接字。

雖然你應該閱讀沙箱的代碼作爲靈感，我不建議使用它作爲是：

• 的代碼是老了，連續7個月一直沒有更新。
• 節點中的子進程模塊已經提供了您需要的大部分功能，特別是child_process.fork()。
• child_process.fork提供的IPC通道可能具有更好的性能。

爲了提高安全性，你還可以考慮使用setuid-sandbox。這是Google Chrome用來防止標籤進程訪問文件系統的代碼。你將不得不做一個本地模塊，但這個example似乎很簡單。

Answer 2

有a newer module on github called vm2解決了這些問題，尤其是在Node.JS應用程序中。也許這會幫助其他人找到它，就像我剛剛做的那樣。