Turvalise JavaScripti liivakasti loomine ES6 moodulite ja globalThis abil

GlobalThisi valdamine JavaScriptis turvalise konteksti isoleerimiseks

Väliste või ebausaldusväärsete sisenditega suhtleva JavaScripti koodi kirjutamisel on hädavajalik vältida volitamata juurdepääsu globaalsele objektile. See tagab teie ümbruse turvalisuse ja järjepidevuse. Üks kaasaegne meetod globaalse ulatuse kontrollimiseks on läbi GlobalJavaScriptil on suhteliselt uus funktsioon, mida nimetatakse selleks objektiks.

The kogu maailmas Sõltumata sellest, kas nad kasutavad Node.js-i või brauserit, pääsevad arendajad selle abil keskkonnaülesele globaalsele kontekstile juurde objektiks. Oluline on rahvusvaheline, sest see on ümberkonfigureeritav, saab selle ajutiselt üle kirjutades luua liivakaste või kontrollitud täitmiskeskkondi.

Arendajad saavad selle funktsiooniga isoleerida koodi täitmise, mis on eriti kasulik ebausaldusväärsete sisenditega töötamisel. Saame koodi liivakasti luua, luues ainulaadse globaalse konteksti, mis võimaldab juurdepääsu ainult ettemääratud muutujate komplektile, vältides samal ajal kokkupuudet ülejäänud globaalse objektiga.

Selles artiklis arutatakse, kuidas seda kasutada globaalneSee ja ES6 moodulid liivakasti ehitamiseks. Näitan kontseptsiooni tõestust, mis asendab hetkeks globaalse konteksti, et tagada koodi turvaline täitmine reguleeritud keskkonnas.

ES6 moodulite ja globalThis abil turvalise globaalse konteksti loomine

Pakutavate skriptide esmane eesmärk on pakkuda a liivakasti keskkond kus globaalne objekt (globaalneSee) asendatakse ajutiselt. See meetod võimaldab hoida algse globaalse objekti olulised muutujad või atribuudid peidetuna, mis on välise või ebausaldusväärse koodiga töötamisel väga kasulik. Globaalse ulatuse ümberdefineerimine tagab parema kontrolli muutuva juurdepääsu üle, piirates koodi sisuliselt juurdepääsuga ainult liivakastis deklareeritud atribuutidele.

Originaali salvestamine globaalneSee kohalikuks muutujaks (salvestatudGlobal) on esimeses näites protsessi esimene samm. See on oluline samm, sest kui liivakasti kood on tehtud, taastatakse globaalne kontekst. Globaalse konteksti asendamisel uue objektiga (siin, myContext), püüab skript muutujaid hankida (siin, a ja b), mis asub selles liivakastis. Nagu näidatud esimeses mainitud numbris, tekib viiteviga, kui teatud muutujaid ei täpsustata. Lõpuks, lõpuks plokk tagab, et käivitamisel taastatakse alati globaalne kontekst, vältides ootamatuid mõjusid rakenduse muudele piirkondadele.

Teine lähenemisviis kasutab a Puhverserver selle menetluse täiustamise vastu. JavaScriptis võimaldab puhverserver programmeerijatel objektidega tehtud toiminguid ümber tõlgendada ja pealt kuulata. Selle skripti raames jälgib puhverserver atribuudile juurdepääsu taotlusi ja määrab, kas soovitud atribuut on liivakastiobjektis olemas. A Viiteviga visatakse juhul, kui vara ei ole võimalik leida, tagades, et välistele muutujatele pole juurdepääsetav. Seetõttu on see hea võimalus globaalse ulatuse kindlustamiseks ja muutuva juurdepääsu haldamiseks dünaamilises liivakastis.

Liivakasti täitmise täielikuks isoleerimiseks kasutab kolmas skript IIFE-d (kohe kutsutud funktsiooniavaldis). Välisel koodil on raske globaalsele kontekstile juurde pääseda või seda segada, kuna IIFE muster mähib kogu toimingu oma lokaalsesse ulatusse. See meetod on turvalisem, kuna globalThis ei puutu kokku välismaailmaga ja seda muudetakse ainult IIFE raames. Tagades, et kogu liivakasti kood töötab täielikult eraldatud keskkonnas, suurendab see skripti toimimise turvalisust ja järjepidevust.

let myContext = { a: 1, b: 2 };
let f = () => {
    let savedGlobal = globalThis;  // Save the original globalThis
    globalThis = myContext;        // Overwrite globalThis with the sandbox context
    try {
        let result = a + b;         // Attempt to access a and b within the sandbox
        return result;              // Return the calculated result
    } catch (e) {
        console.error(e);           // Catch errors, such as reference errors
    } finally {
        globalThis = savedGlobal;   // Restore the original global context
    }
};
console.log(f());

const myContext = { a: 1, b: 2 };
const sandboxHandler = {
    get: (target, prop) => {
        if (prop in target) {
            return target[prop];
        } else {
            throw new ReferenceError(\`Property \${prop} is not defined\`);
        }
    }
};
let mySandbox = new Proxy(myContext, sandboxHandler);
let f = () => {
    let savedGlobal = globalThis;
    globalThis = mySandbox;           // Overwrite with sandbox proxy
    try {
        let result = a + b;           // Access sandbox variables safely
        return result;
    } catch (e) {
        console.error(e);
    } finally {
        globalThis = savedGlobal;      // Restore global context
    }
};
console.log(f());

((globalThis) => {
    const myContext = { a: 1, b: 2 };
    const f = () => {
        let result = myContext.a + myContext.b;  // Access sandbox variables directly
        return result;
    };
    console.log(f());                // Log the result of the sandboxed function
})(globalThis);

Kohandatud globaalse konteksti kasutamise laiendamine JavaScripti liivakastis

Veel üks töötamise eelis Global Selle ühilduvus paljude kontekstidega, nagu veebibrauserid ja serveripoolsed süsteemid, nagu Node.js, on see liivakasti olukorras. Sisuliselt suunate oma koodi rõhuasetuse ümber kontrollitud muutujate kogumile, kui kirjutate globaalse objekti kohandatud kontekstiga üle, nagu on näidatud meie näites. Kui käitate ebausaldusväärseid kolmanda osapoole skripte või eraldate suure võrgurakenduse erinevad moodulid, võib see strateegia muutujate ristsaastumise vältimiseks olla eriti kasulik.

Teine oluline element on asjaolu, et JavaScripti ES6 moodulsüsteemil on sisseehitatud ulatuse määramise tehnikad, mis eraldavad muutujad osaliselt. Teisest küljest kasutades ülemaailmne, võimaldades meil juhtida kogu globaalset olukorda, see võimaldab meil sellest kaugemale minna. Takistades skriptidel, mis ei peaks sellele juurde pääsema, nägemast algset globaalset konteksti, mitte ainult ei tugevda see turvalisust, vaid aitab vältida ka globaalsete muutujate tahtmatut ülekirjutamist. See meetod töötab hästi rakenduste kaitsmiseks pahatahtliku või valesti kirjutatud koodi eest.

ES6 moodulite kombineerimine Puhverserverid parandab veelgi turvalisust olukordades, kus vajate täpset kontrolli selle üle, millistel teie rakenduse komponentidel on juurdepääs globaalsele objektile. Filtreerides juurdepääsu globaalse objekti konkreetsetele atribuutidele, võimaldavad puhverserverid tagada, et juurdepääs on ainult lubatud atribuutidele. Iga üürniku andmed mitme üürniku rakenduses peavad olema täielikult eraldatud teiste üürnike andmetest. See lahendus on skaleeritav ja kohandatav erinevateks kasutusjuhtudeks.