我想知道是否有可能在浏览器中对运行的JavaScript进行沙箱隔离，以防止访问通常在HTML页面中可用的JavaScript代码特性。
例如，假设我想为最终用户提供JavaScript API，让他们定义事件处理程序在“有趣的事件”发生时运行，但是不希望这些用户访问window对象的属性和函数。 我能做到这一点吗？
在最简单的情况下，假设我想防止用户调用alert。 我能想到的几种方法是：
window.alert。 我认为这不是一个有效的方法，因为页面中运行的其他代码（即不是由用户在其事件处理程序中编写的内容）可能需要使用alert。也许解决方案是服务器处理用户定义的函数，然后生成要在客户端执行的回调？ 即使该方法有效，是否有更好的方法来解决此问题？
ADsafe使得将客户端代码（如第三方脚本广告或小部件）放置在任何网页上都变得安全。ADsafe定义了一种JavaScript子集，它足够强大，可以允许客户端代码执行有价值的交互操作，同时防止恶意或意外的破坏或入侵。通过像JSLint这样的工具可以机械地验证ADsafe子集，因此不需要人工检查来审查客户端代码的安全性。ADsafe子集还实施良好的编码规范，增加了客户端代码正确运行的可能性。
您可以通过查看该项目的GitHub存储库中的template.html和template.js文件的示例来了解如何使用ADsafe。
this的任何访问，这是完全不可接受的。如果不使用this，就无法编写出良好的JavaScript代码。 - B Tthis。避免使用命名不当的参数并不难。 - soundly_typedthis的情况，都有一个相等、等价的非this方式来实现它（毕竟它只是一个参数）。 - soundly_typed我创建了一个名为jsandbox的沙盒库，它使用Web Workers来对评估的代码进行沙箱隔离。它还提供了一种输入方法，以显式地向沙盒代码提供其无法获得的数据。
以下是API的示例：
jsandbox
.eval({
code : "x=1;Math.round(Math.pow(input, ++x))",
input : 36.565010597564445,
callback: function(n) {
console.log("number: ", n); // number: 1337
}
}).eval({
code : "][];.]\\ (*# ($(! ~",
onerror: function(ex) {
console.log("syntax error: ", ex); // syntax error: [error object]
}
}).eval({
code : '"foo"+input',
input : "bar",
callback: function(str) {
console.log("string: ", str); // string: foobar
}
}).eval({
code : "({q:1, w:2})",
callback: function(obj) {
console.log("object: ", obj); // object: object q=1 w=2
}
}).eval({
code : "[1, 2, 3].concat(input)",
input : [4, 5, 6],
callback: function(arr) {
console.log("array: ", arr); // array: [1, 2, 3, 4, 5, 6]
}
}).eval({
code : "function x(z){this.y=z;};new x(input)",
input : 4,
callback: function(x) {
console.log("new x: ", x); // new x: object y=4
}
});
在RyanOHara的Web Workers沙箱代码的基础上进行了改进，现在可以使用单个文件（不需要额外的eval.js文件）。
function safeEval(untrustedCode)
{
return new Promise(function (resolve, reject)
{
var blobURL = URL.createObjectURL(new Blob([
"(",
function ()
{
var _postMessage = postMessage;
var _addEventListener = addEventListener;
(function (obj)
{
"use strict";
var current = obj;
var keepProperties =
[
// Required
'Object', 'Function', 'Infinity', 'NaN', 'undefined', 'caches', 'TEMPORARY', 'PERSISTENT',
// Optional, but trivial to get back
'Array', 'Boolean', 'Number', 'String', 'Symbol',
// Optional
'Map', 'Math', 'Set',
];
do
{
Object.getOwnPropertyNames(current).forEach(function (name)
{
if (keepProperties.indexOf(name) === -1)
{
delete current[name];
}
});
current = Object.getPrototypeOf(current);
}
while (current !== Object.prototype)
;
})(this);
_addEventListener("message", function (e)
{
var f = new Function("", "return (" + e.data + "\n);");
_postMessage(f());
});
}.toString(),
")()"],
{type: "application/javascript"}));
var worker = new Worker(blobURL);
URL.revokeObjectURL(blobURL);
worker.onmessage = function (evt)
{
worker.terminate();
resolve(evt.data);
};
worker.onerror = function (evt)
{
reject(new Error(evt.message));
};
worker.postMessage(untrustedCode);
setTimeout(function ()
{
worker.terminate();
reject(new Error('The worker timed out.'));
}, 1000);
});
}
测试一下：
https://jsfiddle.net/kp0cq6yw/
var promise = safeEval("1+2+3");
promise.then(function (result) {
alert(result);
});
应该输出6（已在Chrome和Firefox中测试）。
如其他回答所述，将代码困在带沙盒的iframe中（而不将其发送到服务器端）并使用消息进行通信即可。
我建议看一下我创建的一个小型库，主要是因为需要向不受信任的代码提供一些API，就像问题描述的那样：有机会将特定的函数集合直接导出到运行不受信任代码的沙盒中。还有一个演示，在其中以沙盒方式执行用户提交的代码：
一个不太美观的方式，但也许可以对你有用：
我将所有全局变量重新定义在沙盒作用域中，同时添加了严格模式，以便它们无法使用匿名函数获取全局对象。
function construct(constructor, args) {
function F() {
return constructor.apply(this, args);
}
F.prototype = constructor.prototype;
return new F();
}
// Sanboxer
function sandboxcode(string, inject) {
"use strict";
var globals = [];
for (var i in window) {
// <--REMOVE THIS CONDITION
if (i != "console")
// REMOVE THIS CONDITION -->
globals.push(i);
}
globals.push('"use strict";\n'+string);
return construct(Function, globals).apply(inject ? inject : {});
}
sandboxcode('console.log( this, window, top , self, parent, this["jQuery"], (function(){return this;}()));');
// => Object {} undefined undefined undefined undefined undefined undefined
console.log("return of this", sandboxcode('return this;', {window:"sanboxed code"}));
// => Object {window: "sanboxed code"}
window 非常简单。使用沙箱代码：sandboxcode('console.log((0,eval)("this"))') - Ry-function sbx(s,p) {e = eval; eval = function(t){console.log("GOT GOOD")}; sandboxcode(s,p); eval =e} - YoniXw(_=>_).constructor('return this')() - Ry-