Δημιουργία ασφαλούς JavaScript Sandbox με μονάδες ES6 και globalThis

Κατακτήστε το globalThis σε JavaScript για ασφαλή απομόνωση περιβάλλοντος

Είναι επιτακτική ανάγκη να αποτραπεί η μη εξουσιοδοτημένη πρόσβαση στο καθολικό αντικείμενο κατά τη σύνταξη κώδικα JavaScript που αλληλεπιδρά με εξωτερικές ή μη αξιόπιστες εισόδους. Αυτό εγγυάται την ασφάλεια και τη συνέπεια του περιβάλλοντός σας. Μια σύγχρονη μέθοδος ελέγχου της παγκόσμιας εμβέλειας είναι μέσω του Το globalJavaScript έχει μια σχετικά νέα λειτουργικότητα που ονομάζεται αυτή αντικείμενο.

Ο παγκοσμίως Ανεξάρτητα από το αν χρησιμοποιούν Node.js ή πρόγραμμα περιήγησης, οι προγραμματιστές μπορούν να έχουν πρόσβαση στο παγκόσμιο πλαίσιο διαπεριβαλλοντικά με αυτό αντικείμενο. Κρίσιμα, διεθνήΕπειδή αυτό μπορεί να διαμορφωθεί εκ νέου, τα sandbox ή τα ελεγχόμενα περιβάλλοντα εκτέλεσης μπορούν να δημιουργηθούν με την προσωρινή αντικατάστασή του.

Οι προγραμματιστές μπορούν να απομονώσουν την εκτέλεση κώδικα με αυτήν τη λειτουργία, η οποία είναι ιδιαίτερα χρήσιμη όταν εργάζεστε με μη αξιόπιστες εισόδους. Μπορούμε να στριμώξουμε τον κώδικα δημιουργώντας ένα μοναδικό καθολικό περιβάλλον, το οποίο θα επιτρέπει την πρόσβαση μόνο σε ένα προκαθορισμένο σύνολο μεταβλητών, αποτρέποντας παράλληλα την έκθεση στο υπόλοιπο του καθολικού αντικειμένου.

Αυτό το άρθρο θα συζητήσει τον τρόπο χρήσης παγκόσμιοΑυτό και μονάδες ES6 για την κατασκευή ενός sandbox. Θα παρουσιάσω μια απόδειξη της ιδέας που αντικαθιστά στιγμιαία το παγκόσμιο πλαίσιο για να εγγυηθεί την ασφαλή εκτέλεση κώδικα σε μια ρυθμιζόμενη ρύθμιση.

Χτίζοντας ένα ασφαλές παγκόσμιο πλαίσιο με τις ενότητες ES6 και το globalThis

Ο πρωταρχικός στόχος των σεναρίων που προσφέρονται είναι να παρέχουν α περιβάλλον άμμου όπου το παγκόσμιο αντικείμενο (παγκόσμιοΑυτό) αντικαθίσταται προσωρινά. Αυτή η μέθοδος σάς επιτρέπει να κρατάτε κρυφές σημαντικές μεταβλητές ή ιδιότητες από το αρχικό καθολικό αντικείμενο, κάτι που είναι πολύ χρήσιμο όταν εργάζεστε με εξωτερικό ή μη αξιόπιστο κώδικα. Ο επαναπροσδιορισμός του καθολικού εύρους διασφαλίζει καλύτερο έλεγχο της μεταβλητής πρόσβασης περιορίζοντας ουσιαστικά τον κώδικα στην πρόσβαση μόνο στις ιδιότητες που δηλώνονται στο sandbox.

Αποθήκευση του πρωτοτύπου παγκόσμιοΑυτό σε μια τοπική μεταβλητή (αποθηκεύτηκε Παγκόσμια) είναι το πρώτο βήμα στη διαδικασία στο πρώτο παράδειγμα. Αυτό είναι ένα σημαντικό βήμα γιατί, μόλις εκτελεστεί ο κώδικας sandbox, θα αποκατασταθεί το καθολικό πλαίσιο. Με την αντικατάσταση του καθολικού περιβάλλοντος με ένα νέο αντικείμενο (εδώ, myContext), το σενάριο προσπαθεί να ανακτήσει μεταβλητές (εδώ, ένα και σι) που βρίσκεται σε αυτό το sandbox. Όπως καταδεικνύεται στο πρώτο τεύχος που αναφέρθηκε, δημιουργείται ένα σφάλμα αναφοράς εάν δεν προσδιορίζονται ορισμένες μεταβλητές. Τέλος, το τελικά Το μπλοκ διασφαλίζει ότι, κατά την εκτέλεση, το γενικό πλαίσιο αποκαθίσταται πάντα, αποφεύγοντας τυχόν απροσδόκητες επιπτώσεις σε άλλους τομείς της εφαρμογής.

Η δεύτερη προσέγγιση κάνει χρήση του α Πληρεξούσιο αντιτίθενται στη βελτίωση αυτής της διαδικασίας. Στο JavaScript, ένας διακομιστής μεσολάβησης επιτρέπει στους προγραμματιστές να ερμηνεύουν ξανά και να παρεμποδίζουν τις ενέργειες που γίνονται σε αντικείμενα. Μέσα σε αυτό το σενάριο, ο διακομιστής μεσολάβησης παρακολουθεί αιτήματα για πρόσβαση στην ιδιότητα και καθορίζει εάν η επιθυμητή ιδιότητα υπάρχει στο αντικείμενο sandbox. ΕΝΑ Σφάλμα αναφοράς απορρίπτεται σε περίπτωση που το ακίνητο δεν μπορεί να εντοπιστεί, διασφαλίζοντας ότι δεν υπάρχει πρόσβαση σε εξωτερικές μεταβλητές. Εξαιτίας αυτού, είναι μια ισχυρή επιλογή για την εξασφάλιση του καθολικού εύρους και τη διαχείριση της μεταβλητής πρόσβασης σε μια ρύθμιση δυναμικού sandbox.

Προκειμένου να απομονωθεί πλήρως η εκτέλεση του sandbox, η τρίτη δέσμη ενεργειών χρησιμοποιεί μια έκφραση IIFE (Άμεση κλήση συνάρτησης). Είναι δύσκολο για εξωτερικό κώδικα να έχει πρόσβαση ή να παρεμβαίνει στο παγκόσμιο πλαίσιο, επειδή το μοτίβο IIFE περικλείει ολόκληρη τη δράση μέσα στο δικό του τοπικό πεδίο. Αυτή η μέθοδος είναι πιο ασφαλής επειδή το globalThis δεν εκτίθεται στον έξω κόσμο και μεταβάλλεται μόνο εντός του IIFE. Με την εγγύηση ότι όλος ο κώδικας sandbox λειτουργεί σε ένα εντελώς διαχωρισμένο περιβάλλον, ενισχύει την ασφάλεια και τη συνέπεια στη λειτουργία του σεναρίου.

let myContext = { a: 1, b: 2 };
let f = () => {
    let savedGlobal = globalThis;  // Save the original globalThis
    globalThis = myContext;        // Overwrite globalThis with the sandbox context
    try {
        let result = a + b;         // Attempt to access a and b within the sandbox
        return result;              // Return the calculated result
    } catch (e) {
        console.error(e);           // Catch errors, such as reference errors
    } finally {
        globalThis = savedGlobal;   // Restore the original global context
    }
};
console.log(f());

const myContext = { a: 1, b: 2 };
const sandboxHandler = {
    get: (target, prop) => {
        if (prop in target) {
            return target[prop];
        } else {
            throw new ReferenceError(\`Property \${prop} is not defined\`);
        }
    }
};
let mySandbox = new Proxy(myContext, sandboxHandler);
let f = () => {
    let savedGlobal = globalThis;
    globalThis = mySandbox;           // Overwrite with sandbox proxy
    try {
        let result = a + b;           // Access sandbox variables safely
        return result;
    } catch (e) {
        console.error(e);
    } finally {
        globalThis = savedGlobal;      // Restore global context
    }
};
console.log(f());

((globalThis) => {
    const myContext = { a: 1, b: 2 };
    const f = () => {
        let result = myContext.a + myContext.b;  // Access sandbox variables directly
        return result;
    };
    console.log(f());                // Log the result of the sandboxed function
})(globalThis);

Επέκταση της χρήσης προσαρμοσμένου καθολικού περιβάλλοντος στο JavaScript Sandboxing

Άλλο ένα όφελος από την απασχόληση globalΗ συμβατότητά του με πολλά περιβάλλοντα, όπως προγράμματα περιήγησης ιστού και συστήματα διακομιστή όπως το Node.js, είναι αυτή σε κατάσταση sandboxing. Στην ουσία, επαναδρομολογείτε την έμφαση του κώδικά σας σε μια ελεγχόμενη συλλογή μεταβλητών όταν αντικαθιστάτε το καθολικό αντικείμενο με ένα προσαρμοσμένο περιβάλλον, όπως φαίνεται στο παράδειγμά μας. Όταν εκτελείτε μη αξιόπιστα σενάρια τρίτων κατασκευαστών ή διαχωρίζετε ξεχωριστές λειτουργικές μονάδες μιας μεγάλης διαδικτυακής εφαρμογής, αυτή η στρατηγική μπορεί να είναι ιδιαίτερα χρήσιμη για την αποτροπή της αλληλομόλυνσης μεταβλητών.

Το γεγονός ότι το σύστημα μονάδων ES6 στο JavaScript έχει ενσωματωμένες τεχνικές οριοθέτησης που διαχωρίζουν μερικώς τις μεταβλητές είναι ένα άλλο κρίσιμο στοιχείο. Από την άλλη, χρησιμοποιώντας globalΕπιτρέποντάς μας να κυβερνήσουμε την πλήρη παγκόσμια κατάσταση, αυτό μας δίνει τη δυνατότητα να προχωρήσουμε πέρα ​​από αυτό. Αποτρέποντας τα σενάρια που δεν θα πρέπει να έχουν πρόσβαση σε αυτό από το να δουν το αρχικό καθολικό πλαίσιο, αυτό όχι μόνο ενισχύει την ασφάλεια αλλά βοηθά επίσης στην αποφυγή ακούσιων αντικαταστάσεων καθολικών μεταβλητών. Αυτή η μέθοδος λειτουργεί καλά για την προστασία εφαρμογών από κακόβουλο ή κακογραμμένο κώδικα.

Συνδυασμός μονάδων ES6 με Πληρεξούσιοι βελτιώνει ακόμη περισσότερο την ασφάλεια σε καταστάσεις όπου χρειάζεστε λεπτομερή έλεγχο σχετικά με τα στοιχεία της εφαρμογής σας που έχουν πρόσβαση στο καθολικό αντικείμενο. Φιλτράροντας την πρόσβαση σε συγκεκριμένες ιδιότητες εντός του καθολικού αντικειμένου, οι διακομιστής μεσολάβησης σάς επιτρέπουν να βεβαιωθείτε ότι είναι δυνατή η πρόσβαση μόνο στις ιδιότητες που επιτρέπονται. Τα δεδομένα κάθε μισθωτή σε μια εφαρμογή πολλαπλών ενοικιαστών πρέπει να διαχωριστούν πλήρως από τα δεδομένα των άλλων ενοικιαστών. Αυτή η λύση είναι επεκτάσιμη και προσαρμόσιμη σε διάφορες περιπτώσεις χρήσης.