您应该始终在单独的过程中运行不受信任的代码,这正是沙盒模块所做的。一个简单的原因是vm.runInNewContext('while(true){}', {})
它将冻结节点。
它从产生一个单独的进程开始,随后将在其stdout上将序列化的结果发送到JSON。无论孩子做什么,父进程都会继续执行,并且可能触发超时。
然后,将不受信任的代码包装在严格模式下的闭包中(在常规JavaScript中,您可以arguments.callee.caller
用来访问范围之外的数据)。最后,global
传递一个非常有限的对象以防止访问节点的API。不受信任的代码只能执行基本计算,而不能访问文件或套接字。
虽然您应该阅读沙盒的代码作为灵感,但我不建议按原样使用它:
为了提高安全性,您还可以考虑使用setuid-sandbox。这是Google Chrome浏览器用来防止制表符进程访问文件系统的代码。您必须制作一个本机模块,但是此示例似乎很简单。
本文收集自互联网,转载请注明来源。
如有侵权,请联系 [email protected] 删除。
我来说两句