在沙盒中的 Nodejs 上运行客户端代码

Question

我希望客户端能够发送将在服务器上运行的脚本。管理员会在运行之前查看脚本，但如果没有发现漏洞，我想防止灾难发生。

客户端应该只能使用 API 定义的功能。我的策略是创建使用vm 来创建一个只能访问api 的新上下文。

var vm = require('vm');

var v = 0; //incremetable via API

var api = {
    incr:function(){
        v++;
    }
}

var userCode =
`(function(api){
    api.incr();
    process.exit();     //ERROR: process is undefined
 })`;

vm.runInNewContext(userCode)(api);

console.log(v);

---

理论上，它看起来不错。但是，事实证明您仍然可以通过

使服务器崩溃

api.incr.constructor("return this")().process.exit(1)

---

如何在不损害服务器的情况下提供 API（也就是脚本更改主上下文的能力）？

浏览器中类似于iframe 的东西。

Answer 1

您可以使用.bind 更改函数的this。例如：

var api = {
   incr: (function() {
       return v++;
   }).bind(api)
}

请注意，这未经彻底测试。 可能还有办法颠覆这种方法，但这会阻止一些攻击。一般来说，首先在您的服务器上运行用户代码是个坏主意，无论是否使用虚拟机 我真的很惊讶 Node 允许这样的陷阱。发布有关它的错误报告可能是个好主意。