浅析 Node.js 的 vm 模块以及运行不信任代码

最新推荐文章于 2023-01-04 20:51:37 发布

置顶

yunbaIO

最新推荐文章于 2023-01-04 20:51:37 发布

阅读量1.1k

点赞数 1

分类专栏：技术干货文章标签： node.js vm JavaScript

本文链接：https://blog.csdn.net/yunbaIO/article/details/54924503

版权

本文探讨了Node.js的vm模块，用于运行用户提供的JavaScript代码。通过vm模块，我们可以创建代码实例并指定执行上下文。然而，运行不信任的代码可能引发安全问题，如内存泄漏和权限滥用。解决方案包括限制代码运行时间、定制执行环境以及使用如vm2这样的安全沙箱。文章还提到，结合子进程和底层资源限制可以提高安全性。

摘要由CSDN通过智能技术生成

在一些系统中，我们希望给用户提供插入自定义逻辑的能力，除了 RPC 和 REST 之外，运行客户提供的代码也是比较常用的方法，好处是可以极大地减少在网络上的耗时。JavaScript 是一种非常流行而且容易上手的语言，因此，让用户用 JavaScript 来写自定义逻辑是一个不错的选择。下面我们介绍 Node.js 提供的 vm 模块以及分析用它来运行不信任代码可能遇到的问题。

vm 模块

vm 模块是 Node.js 内置的核心模块，它能让我们编译 JavaScript 代码和在指定的环境中运行。请看下面例子：

const util = require('util');
const vm = require('vm');

// 1. 创建一个 vm.Script 实例, 编译要执行的代码
const script = new vm.Script('globalVar += 1; anotherGlobalVar = 1; ');
// 2. 用于绑定到 context 的对象
const sandbox = {globalVar: 1};
// 3. 创建一个 context, 并且把 sandbox 这个对象绑定到这个环境, 作为全局对象
const contextifiedSandbox = vm.createContext(sandbox);
// 4. 运行上面编译的代码, context 是 contextifiedSandbox
const result = script.runInContext(contextifiedSandbox);

console.log(`sandbox === contextifiedSandbox ? ${sandbox === contextifiedSandbox}`);
// sandbox === contextifiedSandbox ? true
console.log(`sandbox: ${util.inspect(sandbox)}`);
// sandbox: { globalVar: 2, anotherGlobalVar: 1 }
console.log(`result: ${util.inspect(result)}`);
// result: 1