如何在node.js沙箱中安全地运行用户提交的脚本？

Question

安全地在node.js中运行(可能是恶意的)用户提交的脚本有哪些选项？即在一个阻止代码访问敏感数据和API的环境中？

vm.runInNewContext(userScript, {})是一个诱人的起点......但似乎那里有已知的问题.

在沙箱模块看起来很有趣,但使用runInNewContext()也使我有点持怀疑态度的吧.

Answer 1

您应该始终在单独的进程中运行不受信任的代码,这正是沙盒模块所做的.一个简单的原因是vm.runInNewContext('while(true){}', {})会冻结节点.

它首先生成一个单独的进程,稍后将在stdout上将结果序列化为JSON.无论子进程执行什么操作,父进程都会继续执行,并且可以触发超时.

然后将不受信任的代码封装在具有严格模式的闭包中(在常规JavaScript中,您可以使用arguments.callee.caller访问范围之外的数据).最后,global传递一个非常有限的对象以防止访问节点的API.不受信任的代码只能进行基本计算,并且无法访问文件或套接字.

虽然您应该阅读沙盒的代码作为灵感,但我不建议按原样使用它:

• 代码变老了7个月没有更新.
• 节点中的Child Process模块​​已经提供了您需要的大多数功能,尤其是child_process.fork().
• child_process.fork提供的IPC频道可能具有更好的性能.

为了提高安全性,您还可以考虑使用setuid-sandbox.这是Google Chrome用于阻止标签流程访问文件系统的代码.你必须制作一个原生模块,但这个例子似乎很简单.

Answer 2

github上有一个名为vm2的新模块,它解决了其中一些问题,特别是在Node.JS应用程序中.也许这会帮助其他人找到它,就像我刚刚做的那样.