sicher Sandbox und Ausführen von Benutzer eingereichten JavaScript?

Question

Ich möchte die Möglichkeit haben, dass Benutzer beliebigen JavaScript-Code senden können, der dann an einen Node.JS-Server gesendet und sicher ausgeführt wird, bevor die Ausgabe an mehrere Clients zurückgesendet wird (als JSON). Die Funktion eval kommt mir in den Sinn, aber ich weiß, dass dies mehrere Sicherheitsbedenken hat (der vom Benutzer eingegebene Code könnte auf Nodes Datei-API usw. zugreifen). Ich habe einige Projekte wie Microsoft Web Sandbox und Google Caja gesehen, die die Ausführung von saniertem Markup und Skript (zum Einbetten von Drittanbieter-Anzeigen auf Websites) erlauben, aber es scheint, dass dies clientseitige Tools sind und ich bin mir nicht sicher, ob sie dies können sicher in Node verwendet werden.

Gibt es eine Standardmethode zum Sandboxing und Ausführen von nicht vertrauenswürdigem JavaScript in Node, um die Ausgabe zu erhalten. Ist es ein Fehler, diese Server-Seite zu versuchen?

EDIT: Es ist nicht wichtig, dass der Benutzer die vollen Fähigkeiten von JavaScript nutzen kann, in der Tat wäre es besser, in der Lage zu sein, auszuwählen, welche APIs für den Benutzercode bereitgestellt werden.

EDIT: Ich werde fortfahren und aktualisieren mit dem, was ich gefunden habe. Dieses Sandcastle-Modul (bcoe/sandcastle) scheint darauf abzielen, das zu tun, was ich vorhabe. Ich bin mir nicht sicher, wie sicher es ist, aber da ich nichts für zu wichtig halte, denke ich, werde ich es versuchen. Ich werde meine eigene Antwort hinzufügen, wenn ich das erfolgreich machen kann.

Answer 1

Diese Antwort ist veraltet wie GF3 nicht der Schutz vor Sandbox nicht bieten

http://gf3.github.io/sandbox/ zu brechen - es nutzt require('child_process') statt require('vm').

Answer 2

Unter Node.js können Sie einen Sandbox-Kindprozess erstellen, aber Sie müssen auch den Code mit "use strict"; anhängen, andernfalls ist es möglich, die Sandbox mit arguments.callee.caller zu brechen.

Nicht sicher, warum Sie es an den Server senden müssen, da der Code auch in einem Sandkasten-Web-Mitarbeiter ausgeführt werden kann.

Schauen Sie sich auch meine Jailed Bibliothek an, die alles, was gerade für Node.js und den Webbrowser erwähnt wurde, vereinfacht und zusätzlich die Möglichkeit bietet, einen Satz von Funktionen in die Sandbox zu exportieren.

Answer 3

Sie können Sandbox-Unterstützung in NodeJS mit vm.runInContext ('js Code', Kontext), Probe in api-Dokumentation verwenden:

https://nodejs.org/api/vm.html#vm_vm_runinthiscontext_code_options

const util = require('util'); 
const vm = require('vm'); 

const sandbox = { globalVar: 1 }; 
vm.createContext(sandbox); 

for (var i = 0; i < 10; ++i) { 
    vm.runInContext('globalVar *= 2;', sandbox); 
} 
console.log(util.inspect(sandbox)); 

// { globalVar: 1024 } 

WARNEN: Wie von "S4Y" darauf hingewiesen scheint perfekt zu sein. Bitte sehen Sie sich die Kommentare an.

Answer 4

Eine Alternative wäre http://github.com/patriksimek/vm2 zu verwenden:

$ npm install vm2 

dann:

const {VM} = require('vm2'); 
const vm = new VM(); 

vm.run(`1 + 1`); // => 2 

wie in den Kommentaren der anderen Antworten erwähnt.

Ich weiß nicht, wie sicher es ist, aber es behauptet zumindest, dass es nicht vertrauenswürdigen Code sicher läuft (in seiner README).Und ich konnte keine offensichtlichen Sicherheitsprobleme finden, soweit Lösungen in anderen Antworten hier vorgeschlagen werden.