Colorful - 一枚数字艺术家的自留地 ·

JavaScript 沙箱

💡 原文英文，约200词，阅读约需1分钟。

📝

内容提要

本文讨论了JavaScript沙箱技术，重点介绍了使用iframe和sandbox属性安全执行不可信代码。提到的工具包括Google的Caja和Jailed库，前者通过对象能力安全模型确保嵌入代码的安全性，后者是一个轻量级的JavaScript库，专为在沙箱中运行不可信代码设计。这些工具支持旧版浏览器并允许灵活的安全策略。

🔎

延伸解读

沙箱方案的选择：从基础到严格

文章列举了多种浏览器端JavaScript沙箱实现方式。基础方案利用iframe的sandbox属性，或结合Web Worker并阻止危险对象访问。若需要更严格的环境，则可采用Google Caja。这些方案在隔离强度、兼容性和实现复杂度上各有不同，开发者需根据不可信代码的风险等级和运行环境选择。

Caja的对象能力安全模型

Caja采用对象能力安全模型，使嵌入的第三方代码只能通过明确授予的能力访问资源。这种模型允许网站灵活定义安全策略，精确控制嵌入代码对用户数据的操作。与简单隔离相比，它提供了更细粒度的权限管理，适合需要丰富交互同时确保安全的场景。

Jailed的轻量级与无依赖特性

Jailed是一个用纯JavaScript编写、无任何依赖的小型库，专为在沙箱中运行不可信代码而设计。其轻量特性使其易于集成到现有项目中，同时保持沙箱的基本隔离功能。对于不需要Caja那样复杂安全模型的场景，Jailed提供了一个更简单、更轻便的选择。

旧版浏览器兼容性的考量

Caja支持大多数HTML和CSS，并能在不支持严格模式的旧版浏览器上运行严格模式JavaScript，还允许第三方代码在旧浏览器中使用新语言特性。这一兼容性设计意味着即使面对多样化的用户环境，网站也能安全地嵌入第三方代码，而无需强制用户升级浏览器。

❓

Q&A

什么是JavaScript沙箱技术？

JavaScript沙箱技术使用iframe和sandbox属性来安全执行不可信代码。

Google的Caja工具有什么特点？

Caja通过对象能力安全模型确保嵌入代码的安全性，并支持旧版浏览器。

Jailed库的用途是什么？

Jailed是一个轻量级的JavaScript库，专为在沙箱中运行不可信代码设计。