Electron预加载脚本nodeIntegration=false时无法require模块问题咨询

我正在开发首个Electron应用，遵循安全最佳实践，设置nodeIntegration=false、contextIsolation=true。原本以为这些设置仅会禁用渲染进程的Node.js功能，预加载脚本可通过contextBridge结合IPC调用实现Node功能，但实际nodeIntegration禁用后，预加载脚本仅能require('electron')，无法加载path、fs等模块。请问此情况是否符合预期？开启nodeIntegration=true以获取该功能是否安全？

可正常运行的预加载脚本（nodeIntegration=false） #

const { contextBridge, ipcRenderer } = require('electron');

contextBridge.exposeInMainWorld('electronAPI', {
    loadIndexPage: () => ipcRenderer.send('load-index-page')
});

无法运行的预加载脚本（找不到path/fs模块） #

const { contextBridge, ipcRenderer } = require('electron');
const path = require('path');
const fs = require('fs');

contextBridge.exposeInMainWorld('electronAPI', {
    loadIndexPage: () => ipcRenderer.send('load-index-page')
});

回答 #

1. 此情况完全符合预期 #

当nodeIntegration=false且contextIsolation=true时，预加载脚本运行在隔离的上下文环境中，Electron默认仅允许预加载脚本访问Electron自身提供的API（如electron模块），Node.js核心模块（path、fs、child_process等）会被自动禁用。这是Electron安全模型的核心设计之一，目的是严格限制预加载脚本的能力，避免Node.js权限被意外暴露给渲染进程的网页代码。

2. 绝对不建议开启nodeIntegration=true #

开启nodeIntegration=true会让渲染进程完全获得Node.js的所有权限，一旦你的应用加载了不可信的第三方内容（比如恶意广告脚本、注入的恶意代码），攻击者可以直接通过Node.js API读取/修改本地文件、执行系统命令、获取敏感信息，这会带来极高的安全风险，完全违背了你遵循安全最佳实践的初衷。

3. 正确的解决方案：主进程处理Node.js操作，通过IPC通信 #

所有需要Node.js能力的操作都应该放在主进程中执行，预加载脚本仅作为渲染进程和主进程之间的安全桥梁，通过IPC机制传递请求和结果：

主进程代码示例

const { app, BrowserWindow, ipcMain } = require('electron');
const path = require('path');
const fs = require('fs');

// 监听渲染进程的文件读取请求
ipcMain.handle('read-local-file', async (event, relativePath) => {
  try {
    // 处理路径，避免路径遍历攻击
    const safePath = path.join(app.getAppPath(), relativePath);
    const content = fs.readFileSync(safePath, 'utf8');
    return { success: true, content };
  } catch (error) {
    return { success: false, error: error.message };
  }
});

预加载脚本代码示例

const { contextBridge, ipcRenderer } = require('electron');

contextBridge.exposeInMainWorld('electronAPI', {
  // 暴露给渲染进程的文件读取方法
  readLocalFile: (relativePath) => ipcRenderer.invoke('read-local-file', relativePath)
});

渲染进程调用示例

// 渲染进程中调用暴露的API
async function loadFileContent() {
  const result = await window.electronAPI.readLocalFile('data/config.txt');
  if (result.success) {
    console.log('文件内容:', result.content);
  } else {
    console.error('读取失败:', result.error);
  }
}

这种方式既遵循了Electron的安全规范，又能实现你需要的Node.js功能，同时严格控制了权限范围，避免安全风险。

内容的提问来源于stack exchange，提问作者KamikazeStyle