Створення захищеної пісочниці JavaScript із модулями ES6 і globalThis

Освоєння globalThis у JavaScript для безпечної ізоляції контексту

Важливо запобігти неавторизованому доступу до глобального об’єкта під час написання коду JavaScript, який взаємодіє із зовнішніми або ненадійними вхідними даними. Це гарантує безпеку та послідовність вашого оточення. Одним із сучасних методів керування глобальним масштабом є використання globalJavaScript має відносно нову функцію під назвою this об'єкт.

The у всьому світіНезалежно від того, чи використовують вони Node.js чи браузер, розробники можуть отримати доступ до глобального контексту в різних середовищах за допомогою цього об'єкт. Важливо, міжнароднийОскільки це можна переналаштувати, пісочниці або контрольоване середовище виконання можна створити шляхом тимчасового перезапису.

За допомогою цієї функції розробники можуть ізолювати виконання коду, що особливо корисно під час роботи з ненадійними вхідними даними. Ми можемо створювати код ізольованим середовищем, встановивши унікальний глобальний контекст, який дозволить отримати доступ лише до попередньо визначеного набору змінних, уникаючи впливу решти глобального об’єкта.

У цій статті мова піде про те, як використовувати globalThis і модулі ES6 для створення пісочниці. Я продемонструю доказ концепції, яка на мить замінює глобальний контекст, щоб гарантувати безпечне виконання коду в регульованих умовах.

Створення безпечного глобального контексту за допомогою модулів ES6 і globalThis

Основна мета пропонованих сценаріїв — забезпечити a пісочничне середовище де глобальний об'єкт (globalThis) тимчасово замінено. Цей метод дозволяє зберігати важливі змінні або властивості вихідного глобального об’єкта прихованими, що дуже корисно під час роботи із зовнішнім або ненадійним кодом. Перевизначення глобальної області гарантує кращий контроль над доступом до змінних, фактично обмежуючи код доступом лише до властивостей, оголошених у пісочниці.

Збереження оригіналу globalThis у локальну змінну (savedGlobal) є першим кроком процесу в першому прикладі. Це важливий крок, оскільки після виконання коду ізольованого програмного середовища глобальний контекст буде відновлено. Після заміни глобального контексту новим об’єктом (тут myContext), сценарій намагається отримати змінні (тут, a і b), розташованих у цій пісочниці. Як показано в першій згаданій проблемі, помилка посилання виникає, якщо певні змінні не вказані. Нарешті, нарешті Блок гарантує, що під час виконання глобальний контекст завжди відновлюється, уникаючи будь-яких неочікуваних впливів на інші області програми.

Другий підхід використовує a Проксі проти вдосконалення цієї процедури. У JavaScript проксі-сервер дозволяє програмістам переосмислювати та перехоплювати дії, виконані над об’єктами. У цьому сценарії проксі-сервер відстежує запити на доступ до властивості та визначає, чи присутня потрібна властивість в об’єкті пісочниці. А ReferenceError кидається у випадку, якщо властивість не може бути знайдена, гарантуючи відсутність доступу до зовнішніх змінних. Через це це надійний варіант для захисту глобальної області та керування доступом до змінних у налаштуваннях динамічного пісочниці.

Щоб повністю ізолювати виконання пісочниці, третій сценарій використовує IIFE (вираз функції, що негайно викликається). Зовнішньому коду важко отримати доступ до глобального контексту або втручатися в нього, оскільки шаблон IIFE загортає всю дію у власну локальну область. Цей метод більш безпечний, оскільки globalThis не піддається впливу зовнішнього світу та змінюється лише в межах IIFE. Гарантуючи, що весь код ізольованого програмного середовища працює в повністю відокремленому середовищі, це підвищує безпеку та послідовність у роботі сценарію.

let myContext = { a: 1, b: 2 };
let f = () => {
    let savedGlobal = globalThis;  // Save the original globalThis
    globalThis = myContext;        // Overwrite globalThis with the sandbox context
    try {
        let result = a + b;         // Attempt to access a and b within the sandbox
        return result;              // Return the calculated result
    } catch (e) {
        console.error(e);           // Catch errors, such as reference errors
    } finally {
        globalThis = savedGlobal;   // Restore the original global context
    }
};
console.log(f());

const myContext = { a: 1, b: 2 };
const sandboxHandler = {
    get: (target, prop) => {
        if (prop in target) {
            return target[prop];
        } else {
            throw new ReferenceError(\`Property \${prop} is not defined\`);
        }
    }
};
let mySandbox = new Proxy(myContext, sandboxHandler);
let f = () => {
    let savedGlobal = globalThis;
    globalThis = mySandbox;           // Overwrite with sandbox proxy
    try {
        let result = a + b;           // Access sandbox variables safely
        return result;
    } catch (e) {
        console.error(e);
    } finally {
        globalThis = savedGlobal;      // Restore global context
    }
};
console.log(f());

((globalThis) => {
    const myContext = { a: 1, b: 2 };
    const f = () => {
        let result = myContext.a + myContext.b;  // Access sandbox variables directly
        return result;
    };
    console.log(f());                // Log the result of the sandboxed function
})(globalThis);

Розширення використання спеціального глобального контексту в ізольованому програмному середовищі JavaScript

Ще одна перевага працевлаштування globalЙого сумісність із багатьма контекстами, такими як веб-браузери та серверні системи, такі як Node.js, полягає в цьому в ситуації пісочниці. По суті, ви перенаправляєте акцент свого коду на контрольовану колекцію змінних, коли перезаписуєте глобальний об’єкт настроюваним контекстом, як показано в нашому прикладі. Під час запуску ненадійних сценаріїв сторонніх розробників або відокремлення окремих модулів великої онлайн-програми ця стратегія може бути особливо корисною для запобігання перехресному зараженню змінних.

Той факт, що модульна система ES6 у JavaScript має вбудовані методи визначення області видимості, які частково відокремлюють змінні, є ще одним важливим елементом. З іншого боку, використовуючи globalBy дозволяючи нам керувати глобальною ситуацією, це дозволяє нам вийти за рамки цього. Запобігаючи перегляду вихідного глобального контексту сценаріями, які не повинні мати до нього доступу, це не лише посилює безпеку, але й допомагає запобігти ненавмисному перезапису глобальних змінних. Цей метод добре працює для захисту програм від зловмисного або неправильно написаного коду.

Поєднання модулів ES6 з Проксі ще більше покращує безпеку в ситуаціях, коли вам потрібен точний контроль над тим, які компоненти вашої програми мають доступ до глобального об’єкта. Фільтруючи доступ до певних властивостей у глобальному об’єкті, проксі-сервери дають змогу переконатися, що можна отримати доступ лише до дозволених властивостей. Дані кожного клієнта в програмі з кількома клієнтами мають бути повністю відокремлені від даних інших клієнтів. Це рішення є масштабованим і адаптованим до різних випадків використання.