إنشاء بيئة حماية JavaScript آمنة باستخدام وحدات ES6 و globalThis

إتقان globalThis في JavaScript لعزل السياق الآمن

من الضروري منع الوصول غير المصرح به إلى الكائن العام عند كتابة تعليمات برمجية JavaScript تتفاعل مع المدخلات الخارجية أو غير الموثوقة. وهذا يضمن الأمان والاتساق في البيئة المحيطة بك. إحدى الطرق المعاصرة للتحكم في النطاق العالمي هي عبر لدى globalJavaScript وظيفة جديدة نسبيًا تسمى هذه هدف.

ال في جميع أنحاء العالم، بغض النظر عما إذا كانوا يستخدمون Node.js أو المتصفح، يمكن للمطورين الوصول إلى السياق العالمي عبر البيئات باستخدام هذا هدف. بشكل حاسم، الدولية لأن هذا قابل لإعادة التكوين، ويمكن إنشاء صناديق الحماية أو بيئات التنفيذ الخاضعة للرقابة عن طريق الكتابة فوقها مؤقتًا.

يمكن للمطورين عزل تنفيذ التعليمات البرمجية باستخدام هذه الوظيفة، وهو أمر مفيد بشكل خاص عند العمل مع مدخلات غير موثوقة. يمكننا وضع الحماية للكود من خلال إنشاء سياق عالمي فريد، والذي سيسمح فقط بالوصول إلى مجموعة محددة مسبقًا من المتغيرات مع منع التعرض لبقية الكائن العام.

ستناقش هذه المقالة كيفية الاستخدام globalThis ووحدات ES6 لإنشاء صندوق رمل. سأعرض إثباتًا للمفهوم الذي يحل مؤقتًا محل السياق العالمي لضمان التنفيذ الآمن للتعليمات البرمجية في بيئة منظمة.

بناء سياق عالمي آمن باستخدام وحدات ES6 وglobalThis

الهدف الأساسي من البرامج النصية المقدمة هو توفير بيئة رمل حيث الكائن العالمي (globalThis) يتم استبداله مؤقتًا. تتيح لك هذه الطريقة الاحتفاظ بالمتغيرات أو الخصائص المهمة من الكائن العام الأصلي مخفيًا، وهو أمر مفيد جدًا عند العمل مع تعليمات برمجية خارجية أو غير موثوقة. تضمن إعادة تعريف النطاق العام تحكمًا أفضل في الوصول المتغير عن طريق تقييد الكود بشكل أساسي للوصول إلى الخصائص المعلنة في وضع الحماية فقط.

حفظ الأصل globalThis إلى متغير محلي (saveGlobal) هي الخطوة الأولى في العملية في المثال الأول. هذه خطوة مهمة لأنه بمجرد تنفيذ تعليمات وضع الحماية، ستتم استعادة السياق العام. عند استبدال السياق العالمي بكائن جديد (هنا، myContext)، يحاول البرنامج النصي استرداد المتغيرات (هنا، أ و ب) الموجود داخل صندوق الرمل هذا. كما هو موضح في المسألة الأولى المذكورة، يظهر خطأ مرجعي إذا لم يتم تحديد متغيرات معينة. وأخيرا، أخيراً تتأكد الكتلة من استعادة السياق العام دائمًا عند التنفيذ، مما يتجنب أي تأثيرات غير متوقعة على مناطق أخرى من التطبيق.

أما الطريقة الثانية فتستخدم أ الوكيل اعتراض على تحسين هذا الإجراء. في JavaScript، يمكّن الوكيل المبرمجين من إعادة تفسير واعتراض الإجراءات المتخذة على الكائنات. ضمن هذا البرنامج النصي، يراقب الوكيل طلبات الوصول إلى الخاصية ويحدد ما إذا كانت الخاصية المطلوبة موجودة في كائن وضع الحماية. أ خطأ مرجعي يتم طرحها في حالة عدم إمكانية تحديد موقع الخاصية، مما يضمن عدم إمكانية الوصول إلى أي متغيرات خارجية. ولهذا السبب، فهو خيار قوي لتأمين النطاق العالمي وإدارة الوصول المتغير في إعداد وضع الحماية الديناميكي.

من أجل عزل تنفيذ وضع الحماية تمامًا، يستخدم البرنامج النصي الثالث IIFE (تعبير دالة يتم استدعاؤه فورًا). من الصعب على التعليمات البرمجية الخارجية الوصول إلى السياق العام أو التدخل فيه لأن نمط IIFE يغلف الإجراء بأكمله داخل نطاقه المحلي. هذه الطريقة أكثر أمانًا لأن globalThis لا يتعرض للعالم الخارجي ولا يتم تغييره إلا داخل IIFE. من خلال ضمان أن كافة التعليمات البرمجية المعزولة تعمل في بيئة منفصلة تمامًا، فإنها تعزز الأمان والاتساق في تشغيل البرنامج النصي.

let myContext = { a: 1, b: 2 };
let f = () => {
    let savedGlobal = globalThis;  // Save the original globalThis
    globalThis = myContext;        // Overwrite globalThis with the sandbox context
    try {
        let result = a + b;         // Attempt to access a and b within the sandbox
        return result;              // Return the calculated result
    } catch (e) {
        console.error(e);           // Catch errors, such as reference errors
    } finally {
        globalThis = savedGlobal;   // Restore the original global context
    }
};
console.log(f());

const myContext = { a: 1, b: 2 };
const sandboxHandler = {
    get: (target, prop) => {
        if (prop in target) {
            return target[prop];
        } else {
            throw new ReferenceError(\`Property \${prop} is not defined\`);
        }
    }
};
let mySandbox = new Proxy(myContext, sandboxHandler);
let f = () => {
    let savedGlobal = globalThis;
    globalThis = mySandbox;           // Overwrite with sandbox proxy
    try {
        let result = a + b;           // Access sandbox variables safely
        return result;
    } catch (e) {
        console.error(e);
    } finally {
        globalThis = savedGlobal;      // Restore global context
    }
};
console.log(f());

((globalThis) => {
    const myContext = { a: 1, b: 2 };
    const f = () => {
        let result = myContext.a + myContext.b;  // Access sandbox variables directly
        return result;
    };
    console.log(f());                // Log the result of the sandboxed function
})(globalThis);

توسيع استخدام السياق العالمي المخصص في JavaScript Sandboxing

فائدة أخرى للتوظيف إن توافقها العالمي مع العديد من السياقات، مثل متصفحات الويب والأنظمة من جانب الخادم مثل Node.js، هو هذا في حالة وضع الحماية. في الأساس، أنت تقوم بإعادة توجيه التركيز على التعليمات البرمجية الخاصة بك إلى مجموعة من المتغيرات التي يتم التحكم فيها عندما تقوم بالكتابة فوق الكائن العام بسياق مخصص، كما هو موضح في مثالنا. عند تشغيل برامج نصية تابعة لجهات خارجية غير موثوق بها أو فصل وحدات منفصلة لتطبيق كبير عبر الإنترنت، يمكن أن تكون هذه الإستراتيجية مفيدة بشكل خاص في منع التلوث المتبادل للمتغيرات.

إن حقيقة أن نظام وحدة ES6 في JavaScript يحتوي على تقنيات تحديد النطاق المضمنة التي تفصل المتغيرات جزئيًا هو عنصر حاسم آخر. ومن ناحية أخرى، باستخدام عالميمن خلال السماح لنا بحكم الوضع العالمي الكامل، هذا تمكننا من الذهاب إلى أبعد من هذا. من خلال منع البرامج النصية التي لا ينبغي أن تكون قادرة على الوصول إليها من رؤية السياق العام الأصلي، فإن هذا لا يعزز الأمان فحسب، بل يساعد أيضًا في منع الكتابة فوق غير المقصودة للمتغيرات العامة. تعمل هذه الطريقة بشكل جيد لحماية التطبيقات من التعليمات البرمجية الضارة أو المكتوبة بشكل سيئ.

الجمع بين وحدات ES6 مع الوكلاء يعمل على تحسين الأمان بشكل أكبر في المواقف التي تحتاج فيها إلى تحكم دقيق في مكونات تطبيقك التي يمكنها الوصول إلى الكائن العام. من خلال تصفية الوصول إلى خصائص معينة داخل الكائن العام، تتيح لك الوكلاء التأكد من إمكانية الوصول إلى الخصائص المسموح بها فقط. يجب أن يتم فصل بيانات كل مستأجر في تطبيق متعدد المستأجرين بشكل كامل عن بيانات المستأجرين الآخرين. هذا الحل قابل للتطوير وقابل للتكيف مع حالات الاستخدام المختلفة.