Web工作者是沙箱不受信任的JavaScript代码的安全方式

Question

我想知道一个网络工作者是否是沙箱不受信任的JavaScript代码的安全方式.例如,在开发人员可以实现新绘图工具的绘图应用程序的上下文中,您可以将他们的代码放在webworker中,并且每当用户单击画布时,向他们发送包含光标位置的JSON消息,以及图像数据的数组,并且当脚本完成时,它传递包含新图像数据的消息.

这是安全的,还是存在我没想到的风险？

Answer 1

DOM不适用于Web工作者,但可以访问同源的东西,比如indexedDB.请参阅我的相关问题:

工作人员是否足够安全以获取不受信任的代码

安全的方法是使用sandboxiframe的属性:

http://www.html5rocks.com/en/tutorials/security/sandboxed-iframes/

另请查看我的库,它简化了过程并提供了与沙箱的便捷连接(函数导出而不是消息传递):

https://github.com/asvd/jailed