前端提交代码写入文件后Docker沙箱运行异常问题求助

核心问题出在文件写入操作与后续Docker命令的时序/状态不匹配，导致Docker执行时无法正确读取到写入的文件。以下是具体排查方向和解决方案：

一、确保文件写入完全完成后再执行Docker命令 #

如果你的文件写入逻辑用的是回调式的fs.writeFile，即使外层加了async/await也无法等待写入完成。必须使用Promise化的文件操作：

const fs = require('fs').promises;

// 正确的异步写入方式
await fs.writeFile('./modul/test/test.js', submittedCode, { encoding: 'utf8' });

// 可选：验证文件写入结果，避免路径写错或内容为空
const writtenContent = await fs.readFile('./modul/test/test.js', 'utf8');
if (writtenContent !== submittedCode) {
  throw new Error('文件写入不完整或内容不符');
}

只有确认文件写入完成且内容正确后，再执行Docker构建/运行命令。

二、检查文件权限与Docker上下文 #

1. 文件权限问题：后端进程写入的文件可能权限过高（如600），导致Docker构建时无法读取。写入时显式设置权限：

await fs.writeFile('./modul/test/test.js', submittedCode, { mode: 0o644, encoding: 'utf8' });

2. Docker上下文路径错误：如果你的Docker构建命令是docker build ./modul/test，要确保test.js确实在这个目录下，避免写入路径拼写错误（比如把modul写成module）。

三、捕获Docker命令的具体错误信息 #

你现在只知道报错，但不知道具体错误类型（是文件找不到、权限不足还是镜像构建失败）。必须捕获Docker命令的stderr输出：

const { exec } = require('child_process');
const util = require('util');
const execAsync = util.promisify(exec);

try {
  const { stdout, stderr } = await execAsync('docker build -t code-sandbox ./modul/test');
  if (stderr) console.error('Docker构建警告:', stderr);
  // 后续容器运行逻辑
} catch (err) {
  console.error('Docker执行错误:', err.stderr);
  // 返回具体错误给前端排查
  return res.status(500).send(`Docker错误: ${err.stderr}`);
}

通过具体错误信息（比如"test.js: no such file or directory"）才能精准定位问题。

四、替代实现方案（更安全高效） #

如果文件写入的问题难以彻底解决，可以换一种思路避免本地文件操作：

1. 直接挂载代码到容器：跳过镜像构建步骤，直接用bind mount把提交的代码挂载到容器中运行：

docker run --rm --network=none --read-only -v <临时目录>/test.js:/app/test.js node:18 node /app/test.js

可以用os.tmpdir()创建临时目录，写入代码后挂载，运行完成后删除临时文件，避免本地目录污染。
2. 通过stdin传递代码：不需要写入文件，直接把代码通过标准输入传给容器：

echo "${submittedCode}" | docker run --rm --network=none node:18 node -

3. 使用轻量级沙箱库：如果只运行前端代码（如JS），可以用vm2或isolated-vm在Node.js进程内隔离运行，不需要Docker，性能更高且避免文件操作问题。

内容的提问来源于stack exchange，提问作者Sanya Demenkov