如何在网页中实现一个安全的沙箱环境

Hyper_Bug_s
  • 516

我想在网站上为用户提交的javascript代码做一个可以在线演示的demo环境,但是怕用户提交恶意代码来做坏事,因此想实现一个安全的沙箱环境,让代码在执行时不会影响到主站的环境,这样也不会被xss了。

回复
阅读 8k
5 个回答
siberiawolf
  • 2.5k

给你推荐一个网站http://jsfiddle.net/,这个网站允许在线运行javascript。
你在编辑javascript的编辑框中输入要写的内容,然后菜单栏中有一个save按钮,点击完之后会看到有一个share的按钮,点击之后会看到iframe标签,将里面的内容复制到你要使用的地方就可以了。
使用代码类似:

<iframe style="width: 100%; height: 300px" src="http://jsfiddle.net/siberiawolf/CJ3t5/embedded/" allowfullscreen="allowfullscreen" frameborder="0"></iframe>

效果如下:
微博桌面截图_20130115194827.jpg

业务上保障吧, 比如只允许自己运行自己的, 如果是公共的就提示源码, 用户通过点击"运行按钮"再执行

技术上浏览器端要实现一个js沙盒基本是不可能的事

比如禁止了

alert(document.cookie);
top.location.href="http://www.google.com/";

也禁止不了

alert(document['coo'+'kie']);
window['to'+'p']['locat'+'ion']='http://www.google.com/';

将代码放入另一个域名下的页面中,采用一个iframe方式将这个页面在主页面展示,利用浏览器的对跨域的安全限制,即使是恶意代码,运行了也不会产生太大危害。

除非你用的是nodejs(然后把用户提交的js放在服务器端跑)、或者把A用户提交的js给B用户运行,否则不需要担心安全的问题。

宣传栏