首页 / 知识

如何在沙箱中使用 Rhino for Java 运行 Javascript？

2023-04-17 05:32:00

How can you run Javascript using Rhino for Java in a sandbox?

我们的部分 java 应用程序需要运行由非开发人员编写的 javascript。这些非开发人员正在使用 javascript 进行数据格式化。 (主要是简单的逻辑和字符串连接)。

我的问题是如何设置这些脚本的执行，以确保脚本错误不会对应用程序的其余部分产生重大负面影响。

需要防范无限循环
防止产生新线程。
限制对服务和环境的访问
- 文件系统(例如：如果一个心怀不满的脚本编写者决定删除文件)
- 数据库(同样删除数据库记录)

基本上，我需要将 javascript 范围设置为仅包含他们需要的内容，而不再包含更多内容。

为了防止无限循环，您可以在脚本运行时观察指令计数(这仅适用于解释脚本，不适用于编译脚本)。

Rhino JavaDocs中有这个例子可以防止脚本运行超过十秒：

1
2
3
4
5
6
7
8
9
10
11
12

protected void observeInstructionCount(Context cx, int instructionCount)
{
MyContext mcx = (MyContext)cx;
long currentTime = System.currentTimeMillis();
if (currentTime - mcx.startTime 10*1000) {
// More then 10 seconds from Context creation time:
// it is time to stop the script.
// Throw Error instance to ensure that script will never
// get control back through catch or finally.
throw new Error();
}
}

要阻止 Java 类和方法访问，请查看...

http://codeutopia.net/blog/2009/01/02/sandboxing-rhino-in-java/

为了防止无限循环，你需要把它放在一个单独的进程中，以便它可以被杀死。

为了防止创建线程，您需要扩展 SecurityManager(默认实现允许不受信任的代码访问非根线程组)。

Java 安全确实允许您阻止对文件系统的访问。

对于数据库限制，您也许可以使用标准的 SQL 用户安全性，但这很弱。否则，您需要提供一个 API 来强制执行您的限制。

编辑：我要指出的是，JDK6提供的Rhino版本已经完成了安全工作，但不包括编译器。

我刚刚看到这篇博客文章，它似乎对沙盒或多或少有用(不仅仅是 Rhino)：

http://calumleslie.blogspot.com/2008/06/simple-jvm-sandboxing.html

如果您只寻找纯 JavaScript 函数，这里有一个基于 JDK 嵌入式 Rhino 库的解决方案，无需导入任何第三方库：

通过 ScriptEngineManager#getEngineFactories 找出 JavaScript 脚本引擎工厂类名

在新的类加载器中加载脚本引擎工厂类，其中 JavaMembers 或其他相关类将被忽略。