什么是JavaScript沙箱_如何安全地执行第三方代码_技术教程

JavaScript沙箱是限制第三方代码权限的隔离环境，核心目标是控制其行为而非完全阻止执行，需从全局对象、函数调用、作用域和资源访问四维度隔离，常见方案包括Web Worker、iframe sandbox、vm2及Proxy轻量沙箱，配置不当仍可能被绕过。

JavaScript沙箱是一种隔离环境，用来限制第三方代码的执行权限，防止它读取敏感数据、修改全局状态或发起恶意网络请求。核心目标不是“完全阻止执行”，而是“控制能做什么”。

一个有效的沙箱需从多个层面切断不受信代码与宿主环境的联系：

全局对象隔离：不直接暴露 window、document、localStorage 等原生对象，而是提供精简、只读（或受控可写）的代理对象
函数调用拦截：重写或屏蔽危险方法，如 eval、Function 构造器、setTimeout、fetch，或通过 Proxy 拦截其调用行为
作用域限制：在独立的 with 块、新创建的函数作用域，或 vm.Script（Node.js）中运行，避免污染全局变量
资源访问管控：禁止 DOM 操作、禁止文件系统访问（Node）、限制网络请求（如仅允许白名单域名）

没有“银弹”方案，选择取决于运行环境和安全等级要求：

Web Worker + MessageChannel：将第三方代码放入 Worker 中执行，主页面仅通过 postMessage 通信。Worker 默认无 DOM 访问权，天然隔离，适合计算类脚本（如公式解析、数据转换）
iframe 沙箱属性：。浏览器原生支持，禁用插件、表单提交、弹窗等，默认无 window.parent 访问。注意：仍可访问自身 document，需配合 srcdoc 或空 src 避免跨域泄露
vm2（Node.js）：比原生 vm 模块更安全的第三方库，支持上下文隔离、超时中断、内置 API 白名单控制。适用于服务端模板渲染、规则引擎等场景
基于 Proxy 的轻量沙箱：用 new Function 创建执行函数，再用 Proxy 包裹全局对象模拟受限环境。适合简单表达式求值（如条件判断、数学运算），但无法防御原型污染或 eval 绕过，慎用于高危场景

即使用了沙箱，配置不当仍可能被绕过：

不要直接传入原始对象引用：比如把 JSON 或 Array.prototype 整个挂进沙箱上下文，攻击者可通过 {}.constructor.constructor('return process')() 尝试逃逸（尤其 Node 环境）
禁用 with 语句和 __proto__ 访问：它们是常见的原型链污染入口，影响沙箱内所有对象行为
限制执行时间与内存：死循环或大数组构造可能拖垮进程。Node 中可用 vm.Script#runInContext 配合 timeout；浏览器中可用 Worker 的 terminate() 强制结束
沙箱输出也要校验：即使输入被限制，返回结果（如生成的 HTML 字符串）仍可能含 XSS 片段，需二次过滤或使用 textContent 渲染