उपयोगकर्ता द्वारा सबमिट की गई स्क्रिप्ट को node.js सैंडबॉक्स में सुरक्षित रूप से कैसे चलाया जाए?

Question

सुरक्षित रूप से node.js में उपयोगकर्ता द्वारा सबमिट की गई स्क्रिप्ट को चलाने (संभावित रूप से दुर्भावनापूर्ण) के विकल्प क्या हैं? अर्थात। ऐसे वातावरण में जो कोड को संवेदनशील डेटा और एपीआई तक पहुंचने से रोकता है?

vm.runInNewContext(userScript, {}) एक आकर्षक प्रारंभिक बिंदु है ... लेकिन ऐसा लगता है कि वहां known issues हैं।

sandbox module दिलचस्प लग रहा है, लेकिन runInNewContext() का भी उपयोग करता है, इसलिए मैं इसका थोड़ा सा हिस्सा लेता हूं।

Answer 1

आपको हमेशा एक अलग प्रक्रिया में अविश्वसनीय कोड चलाया जाना चाहिए, जो वास्तव में सैंडबॉक्स मॉड्यूल करता है। एक साधारण कारण यह है कि नोड फ्रीज करेगा।

यह एक अलग प्रक्रिया को शुरू करने से शुरू होता है, जो बाद में जेएसओएन को अपने stdout पर क्रमबद्ध परिणाम भेज देगा। बच्चे की प्रक्रिया के बावजूद माता-पिता की प्रक्रिया निष्पादन जारी है और टाइमआउट ट्रिगर कर सकती है।

अविश्वसनीय कोड strict mode (नियमित जावास्क्रिप्ट में) के साथ बंद होने पर लपेटा जाता है, तो आप अपने दायरे के बाहर डेटा तक पहुंचने के लिए arguments.callee.caller का उपयोग कर सकते हैं)। अंत में, नोड के एपीआई तक पहुंच को रोकने के लिए बहुत सीमित global ऑब्जेक्ट पास किया गया है। अविश्वसनीय कोड केवल मूल गणना कर सकता है और फ़ाइलों या सॉकेट तक पहुंच नहीं है।

आप एक प्रेरणा के रूप सैंडबॉक्स के कोड को पढ़ने के लिए चाहिए, मैं इसे उपयोग कर रहा है के रूप में की सिफारिश नहीं होगा:

• कोड पुराने हो रही है और 7 महीने के लिए अद्यतन नहीं किया गया।
• नोड में बाल प्रक्रिया मॉड्यूल पहले से ही आपको आवश्यक अधिकांश सुविधाएं प्रदान करता है, खासकर child_process.fork()।
• child_process.fork द्वारा प्रदान किया गया आईपीसी चैनल शायद बेहतर प्रदर्शन करता है।

बढ़ी हुई सुरक्षा के लिए, आप setuid-sandbox का उपयोग करने पर भी विचार कर सकते हैं। टैब प्रक्रियाओं को फ़ाइल सिस्टम तक पहुंचने से रोकने के लिए Google Chrome द्वारा उपयोग किया जाने वाला कोड है। आपको मूल मॉड्यूल बनाना होगा, लेकिन यह example सरल लगता है।

Answer 2

a newer module on github called vm2 है जो इन चिंताओं में से कुछ को संबोधित करता है, खासकर नोड.जेएस अनुप्रयोगों में। हो सकता है कि कुछ अन्य लोगों को यह ढूंढने में मदद मिलेगी, जैसा कि मैंने अभी किया है।