Node.js 是一种非常强大的开发语言，能够用于编写 Web 应用程序、命令行工具等。然而，当我们允许用户向我们的应用程序提交脚本时，我们需要确保这些脚本不会对系统造成损害或泄漏敏感信息。在这篇文章中，我将介绍如何使用 Node.js 沙盒来安全地运行用户提交的脚本。
什么是 Node.js 沙盒？
Node.js 沙盒是一个独立的环境，其中可以运行 JavaScript 代码，但与主机环境隔离。通过将用户提交的脚本放入沙盒中，我们可以限制脚本的访问权限，并确保其不能访问系统资源或敏感信息。
Node.js 核心库提供了一个名为 "vm" 的模块，用于创建和管理沙盒。vm 模块允许我们在一个新的上下文中运行代码，这个上下文与主机环境分离并拥有自己的全局对象和变量。
如何创建一个简单的 Node.js 沙盒？
下面是一个使用 vm 模块创建一个简单的 Node.js 沙盒的示例:
-- -------------------- ---- ------- ----- -- - -------------- ----- ------- - - -------- ------- ------- -- ----- ---- - - --------------------- -- -------------------------- --------------------- ---------
在这个示例中，我们首先创建了一个名为 "sandbox" 的上下文对象，并将一个名为 "message" 的变量添加到其中。然后，我们使用模板字符串定义了要在沙盒中运行的代码，并使用 vm.createContext() 方法来创建一个新的上下文。最后，我们使用 vm.runInContext() 方法执行传入的代码并将其输出到控制台。
如何在 Node.js 沙盒中限制访问权限？
默认情况下，Node.js 沙盒是与主机环境隔离的，因此用户提交的脚本无法访问系统资源或敏感信息。但是，如果我们需要更细粒度的控制，我们可以使用 vm 模块提供的一些选项和方法来限制脚本的访问权限。
使用 runInNewContext() 方法
runInNewContext() 方法是 vm 模块提供的一种运行代码的方法，它允许我们在一个新的全局上下文中运行代码。在新的上下文中，只有少数核心模块和全局变量是可用的，因此用户提交的脚本无法访问主机环境中的文件系统、网络、进程等资源。
下面是一个使用 runInNewContext() 方法创建一个简单的 Node.js 沙盒的示例:
-- -------------------- ---- ------- ----- -- - -------------- ----- ------- - - -------- ------- ------- -- ----- ---- - - --------------------- -- ------------------------ ---------
在这个示例中，我们使用 runInNewContext() 方法替代了之前的 runInContext() 方法。在新的全局上下文中，只有少数核心模块和全局变量是可用的，因此用户提交的脚本无法访问主机环境中的文件系统、网络、进程等资源。
使用沙盒选项
vm 模块还提供了一些选项，用于控制在 Node.js 沙盒中允许的代码的行为。其中最常用的选项是 "timeout" 和 "displayErrors"。
- timeout：限制脚本运行的时间（单位：毫秒）。
- displayErrors：是否在控制
来源：JavaScript中文网 ，转载请注明来源 https://www.javascriptcn.com/post/28239