首页 > 文章 > 前端

Node.js沙箱执行不信任代码方法

时间：2025-12-24 23:35:30 246浏览收藏

偷偷努力，悄无声息地变强，然后惊艳所有人！哈哈，小伙伴们又来学习啦~今天我将给大家介绍《Node.js 沙箱执行不可信代码方法》，这篇文章主要会讲到等等知识点，不知道大家对其都有多少了解，下面我们就一起来看一吧！当然，非常希望大家能多多评论，给出合理的建议，我们一起学习，一起进步！

vm模块可在隔离上下文中执行JS代码，适合运行不可信脚本；通过vm.createContext()创建沙箱并限制暴露的变量，结合timeout防止死循环，但无法完全阻止恶意行为，不应作为唯一安全边界。

在 Node.js 中，如何利用 vm 模块在沙箱环境中执行不可信代码？

在 Node.js 中，vm 模块可用于在隔离的上下文中运行 JavaScript 代码，适合执行不可信脚本。虽然它提供一定程度的隔离，但不能完全防止恶意行为（如进程退出、内存耗尽），因此不应作为唯一的安全边界。正确使用时，可结合限制作用域和超时机制提升安全性。

使用 vm.createContext() 将一个对象封装为沙箱上下文，传入需要暴露的变量或方法。执行的代码将在该上下文中运行，无法直接访问外部作用域。

示例：

通过 timeout 选项防止长时间运行或死循环。若代码执行超过指定毫秒数，将抛出错误并终止脚本。

try { vm.runInContext(` let i = 0; while (true) { i++; } `, sandbox, { timeout: 500 }); } catch (err) { console.error('脚本超时或出错:', err.message); }

注意：timeout 在某些情况下可能不立即生效，尤其涉及原生阻塞操作时。

避免向沙箱注入全局对象（如 process、require），否则可能被利用进行系统调用。

// ❌ 危险做法 const unsafeSandbox = { process }; // ✅ 安全做法：只提供必要接口 const safeSandbox = { console: console, setTimeout, Date: Date };

也可通过包装函数限制可访问 API，例如提供受控的网络请求或文件操作代理。

基本上就这些。vm 模块适合轻量级隔离场景，如配置表达式求值或简单插件系统。对高安全需求场景，应考虑使用独立进程、容器或专用沙箱运行时。

本篇关于《Node.js沙箱执行不信任代码方法》的介绍就到此结束啦，但是学无止境，想要了解学习更多关于文章的相关知识，请关注golang学习网公众号！