Deno 是一种现代的、安全的 JavaScript 和 TypeScript 运行时环境，逐渐受到前端开发者的欢迎。然而，任何编程环境都有安全问题，Deno 也不例外。在本文中，我们将探讨 Deno 中常见的安全问题和解决方法，并提供示例代码。
1. 权限控制
Deno 内置的安全模型可以精确地控制程序的文件访问、网络访问、环境变量和权限等。因此，我们需要了解如何在 Deno 中管理权限。
文件访问权限
在 Deno 中，文件访问默认是被禁止的。如果需要读写文件，需要明确地申请权限：
-- --------------------- ----- ------- - --- --------------------- ----- ---- - ----- ----------------------------------- ----- ------- - ---------------------
-- --------------------- ----- ----------------------------------- ------
在命令行上运行代码时，需要使用 --allow-read 和 --allow-write 标志来授予权限：
---- --- ------------ ------------- ---------
网络访问权限
Deno 禁止默认访问网络，如果需要访问网络资源，需要明确地申请权限：
-- --------------------- ----- --- - ----- ----------------------------- ----- ---- - ----- ----------- ------------------
在命令行上运行代码时，需要使用 --allow-net 标志来授予权限：
---- --- ----------- ---------
环境变量权限
Deno 中默认禁止访问环境变量，但是可以通过 --allow-env 标志来授权：
-- ----------------------- ----------------------------------
在命令行上运行代码时，需要使用 --allow-env 标志来授予权限：
---- --- ----------- ---------
权限的组合申请
权限可以进行组合申请，例如：
---- --- ------------------------- ------------------------------ ---------
这个命令将授予程序读取 /path/to/dir 目录和访问 http://example.com 的权限。
2. 第三方模块的安全性
第三方模块的安全问题是任何编程环境都需要考虑的问题，Deno 也不例外。在 Deno 中，我们可以使用以下方法来保证第三方模块的安全性：
模块的签名验证
Deno 支持使用签名来验证第三方模块的可信度。开发者可以在编写代码时使用 --import-map 标志来指定签名。
---- --- ------------ ---------------------------- ------
-- ---------------
-
---------- -
---------------------- -
------- --------
---------- -
--------- --------------
------- ---------
------ ------------------------------------------------------------------
-
-
-
-限制模块加载
Deno 可以限制模块只能在特定的路径中被加载。例如，在 app.ts 中加载模块时，可以使用 import 函数的第二个参数来指定模块搜索的路径：
------ - --------- - ---- ------------
如果要限制模块只能在某个路径中加载，可以将 import 函数的第二个参数指定为该路径：
------ - --------- - ---- ------------ ---------------
这样做可以确保只有被授权的模块才能被加载。
3. 恶意代码的防范
在 Deno 中执行外部代码，例如从 URL 加载远程代码或从第三方模块加载代码，需要小心防范代码中的安全问题。
从远程代码加载模块
从远程代码加载模块时需要保持警惕，确保代码的来源可信。
------ - --------- - ---- -----------------------------------
最好限制只从特定的域名加载代码。
从第三方模块加载代码
在从第三方模块加载代码时，需要了解该模块的来源和可靠性。建议使用签名验证来确保模块的身份。
永远不要直接执行加载的代码
在加载代码时，根据需要对代码进行审核。然后，使用动态 import 函数在需要时才执行代码：
----- - --------- - - ----- --------------------------------------------
这样可以检查代码是否是有害的，确保在需要时才会执行动态加载的代码。
结论
在 Deno 中，我们可以通过权限控制、限制模块加载和签名验证来降低安全风险。开发者应该时刻保持警惕，了解每个模块的来源和可靠性，以确保程序的安全性。
来源：JavaScript中文网 ，转载请注明来源 本文地址：https://www.javascriptcn.com/post/6721ac032e7021665e086f20