Saugios JavaScript smėlio dėžės sukūrimas naudojant ES6 modulius ir globalThis

GlobalThis įvaldymas JavaScript saugiam konteksto izoliavimui

Rašant „JavaScript“ kodą, kuris sąveikauja su išorinėmis arba nepatikimomis įvestimis, būtina užkirsti kelią neteisėtai prieigai prie visuotinio objekto. Tai garantuoja jūsų aplinkos saugumą ir nuoseklumą. Vienas iš šiuolaikinių visuotinės apimties valdymo būdų yra per globalJavaScript turi palyginti naują funkciją, vadinamą tai objektas.

The visame pasaulyjeNepriklausomai nuo to, ar jie naudoja Node.js, ar naršyklę, kūrėjai gali pasiekti pasaulinį kontekstą įvairiose aplinkose. objektas. Svarbiausia, tarptautinis, nes tai yra perkonfigūruojamas, smėlio dėžės arba valdomos vykdymo aplinkos gali būti sukurtos laikinai jį perrašant.

Kūrėjai gali išskirti kodo vykdymą naudodami šią funkciją, kuri ypač naudinga dirbant su nepatikimais įvestimis. Kodą galime naudoti su smėlio dėže, nustatydami unikalų pasaulinį kontekstą, kuris leis pasiekti tik iš anksto nustatytą kintamųjų rinkinį, tuo pačiu užkertant kelią likusiai pasaulinio objekto daliai.

Šiame straipsnyje bus aptarta, kaip naudoti globalTai ir ES6 moduliai smėlio dėžei statyti. Aš parodysiu koncepcijos įrodymą, kuris akimirksniu pakeičia pasaulinį kontekstą, kad garantuotų saugų kodo vykdymą reguliuojamoje aplinkoje.

Saugaus pasaulinio konteksto kūrimas naudojant ES6 modulius ir globalThis

Pagrindinis siūlomų scenarijų tikslas yra pateikti a smėlio dėžės aplinka kur pasaulinis objektas (globalTai) laikinai pakeičiamas. Šis metodas leidžia paslėpti svarbius pradinio pasaulinio objekto kintamuosius ar ypatybes, o tai labai naudinga dirbant su išoriniu arba nepatikimu kodu. Iš naujo apibrėžus visuotinę apimtį, užtikrinama geresnė kintamosios prieigos kontrolė, nes iš esmės apribojamas kodas, kad būtų galima pasiekti tik smėlio dėžėje deklaruotas ypatybes.

Originalo išsaugojimas globalTai į vietinį kintamąjį (išsaugotasGlobal) yra pirmasis proceso žingsnis pirmame pavyzdyje. Tai svarbus žingsnis, nes atlikus smėlio dėžės kodą bus atkurtas pasaulinis kontekstas. Pasaulinį kontekstą pakeitus nauju objektu (čia, myContext), scenarijus stengiasi gauti kintamuosius (čia, a ir b), esantis šioje smėlio dėžėje. Kaip parodyta pirmajame minėtame numeryje, nenurodžius tam tikrų kintamųjų atsiranda nuorodos klaida. Galiausiai, pagaliau blokas užtikrina, kad vykdant pasaulinis kontekstas visada būtų atkurtas, išvengiant netikėtų padarinių kitose programos srityse.

Antrasis metodas naudoja a Proxy prieštarauja šios procedūros patobulinimui. „JavaScript“ tarpinis serveris leidžia programuotojams iš naujo interpretuoti ir perimti veiksmus, atliekamus su objektais. Šiame scenarijuje įgaliotasis serveris stebi nuosavybės prieigos užklausas ir nustato, ar norima nuosavybė yra smėlio dėžės objekte. A Nuorodos klaida yra išmetamas tuo atveju, jei turto negalima rasti, užtikrinant, kad jokie išoriniai kintamieji nebus prieinami. Dėl šios priežasties tai yra puiki galimybė užtikrinti visuotinę apimtį ir valdyti kintamą prieigą dinaminės smėlio dėžės nustatymuose.

Siekiant visiškai izoliuoti smėlio dėžės vykdymą, trečiasis scenarijus naudoja IIFE (iš karto iškviesta funkcijos išraiška). Išoriniam kodui sunku pasiekti arba įsiterpti į pasaulinį kontekstą, nes IIFE modelis apgaubia visą veiksmą savo vietinėje srityje. Šis metodas yra saugesnis, nes globalThis nėra veikiamas išorinio pasaulio ir yra keičiamas tik IIFE viduje. Garantuodamas, kad visas smėlio dėžės kodas veiktų visiškai atskirtoje aplinkoje, jis padidina scenarijaus veikimo saugumą ir nuoseklumą.

let myContext = { a: 1, b: 2 };
let f = () => {
    let savedGlobal = globalThis;  // Save the original globalThis
    globalThis = myContext;        // Overwrite globalThis with the sandbox context
    try {
        let result = a + b;         // Attempt to access a and b within the sandbox
        return result;              // Return the calculated result
    } catch (e) {
        console.error(e);           // Catch errors, such as reference errors
    } finally {
        globalThis = savedGlobal;   // Restore the original global context
    }
};
console.log(f());

const myContext = { a: 1, b: 2 };
const sandboxHandler = {
    get: (target, prop) => {
        if (prop in target) {
            return target[prop];
        } else {
            throw new ReferenceError(\`Property \${prop} is not defined\`);
        }
    }
};
let mySandbox = new Proxy(myContext, sandboxHandler);
let f = () => {
    let savedGlobal = globalThis;
    globalThis = mySandbox;           // Overwrite with sandbox proxy
    try {
        let result = a + b;           // Access sandbox variables safely
        return result;
    } catch (e) {
        console.error(e);
    } finally {
        globalThis = savedGlobal;      // Restore global context
    }
};
console.log(f());

((globalThis) => {
    const myContext = { a: 1, b: 2 };
    const f = () => {
        let result = myContext.a + myContext.b;  // Access sandbox variables directly
        return result;
    };
    console.log(f());                // Log the result of the sandboxed function
})(globalThis);

Pasirinktinio pasaulinio konteksto naudojimo išplėtimas JavaScript smėlio dėžėje

Kitas įdarbinimo privalumas globalJo suderinamumas su daugeliu kontekstų, pvz., žiniatinklio naršyklėmis ir serverio sistemomis, pvz., Node.js, yra toks smėlio dėžės situacijoje. Iš esmės perrašote savo kodo akcentą į kontroliuojamą kintamųjų rinkinį, kai perrašote visuotinį objektą tinkintu kontekstu, kaip parodyta mūsų pavyzdyje. Vykdant nepatikimus trečiųjų šalių scenarijus arba atskiriant atskirus didelės internetinės programos modulius, ši strategija gali būti ypač naudinga siekiant išvengti kryžminio kintamųjų užteršimo.

Kitas svarbus elementas yra faktas, kad ES6 modulių sistemoje „JavaScript“ yra įmontuoti taikymo srities nustatymo metodai, kurie iš dalies atskiria kintamuosius. Kita vertus, naudojant pasaulinė Leisdama mums valdyti visą pasaulinę situaciją, tai leidžia mums tai peržengti. Neleidžiant scenarijų, kurie neturėtų prieiti prie jo, matyti pradinį pasaulinį kontekstą, tai ne tik sustiprina saugumą, bet ir padeda išvengti netyčinio pasaulinių kintamųjų perrašymo. Šis metodas gerai veikia siekiant apsaugoti programas nuo kenkėjiško ar netinkamai parašyto kodo.

ES6 modulių derinimas su Įgaliotieji serveriai dar labiau pagerina saugumą situacijose, kai reikia tiksliai kontroliuoti, kurie programos komponentai turi prieigą prie visuotinio objekto. Filtruodami prieigą prie konkrečių visuotinio objekto ypatybių, tarpiniai serveriai leidžia įsitikinti, kad galima pasiekti tik leistinas ypatybes. Kiekvieno nuomininko duomenys kelių nuomininkų programoje turi būti visiškai atskirti nuo kitų nuomininkų duomenų. Šis sprendimas yra keičiamas ir pritaikomas įvairiems naudojimo atvejams.