如何沙箱化用户提交的C#代码？AppDomain是否为合适方案？

是的，AppDomain完全适合作为沙箱化运行用户代码的方案——哪怕你是在应用内部编译用户代码，而非加载外部DLL。你之前的误解可能来自常见示例的场景，但AppDomain的核心设计就是提供隔离的执行环境，刚好匹配你的需求。

为什么AppDomain适合？ #

AppDomain能实现两层关键隔离：

• 内存隔离：用户代码在独立AppDomain中运行，崩溃不会影响主应用进程。
• 权限隔离：你可以给沙箱AppDomain分配最小必要权限，限制用户代码访问文件、网络、系统资源等，避免恶意操作。

具体实现步骤 #

1. 编译用户代码：用CodeDomProvider.CompileAssemblyFromSource编译时，可选择生成内存程序集或临时DLL文件（推荐临时文件，跨AppDomain加载更稳定）。
2. 创建沙箱AppDomain：配置权限集（比如仅允许代码执行，禁止其他操作），通过AppDomain.CreateDomain创建带限制的隔离域。
3. 跨域执行代码：需要一个继承自MarshalByRefObject的代理类（跨AppDomain调用要求对象可跨域访问），通过CreateInstanceAndUnwrap加载代理，再由代理执行用户代码。
4. 清理资源：执行完成后调用AppDomain.Unload卸载沙箱，避免内存泄漏。

注意事项 #

• .NET Core/.NET 5+兼容性：AppDomain在这些版本中已被弃用，官方推荐用AssemblyLoadContext实现隔离，但它的隔离性不如AppDomain（无法完全卸载、内存隔离有限）。如果需要强沙箱，建议用独立进程（System.Diagnostics.Process）运行用户代码。
• 权限要严格最小化：根据你的应用场景配置权限，比如不需要文件操作就不要给FileIOPermission，防止恶意代码搞破坏。
• 避免内存程序集的序列化问题：如果编译到内存，跨AppDomain加载可能遇到序列化障碍，不如生成临时DLL文件加载更可靠。

简单示例代码 #

跨域代理类

public class UserCodeRunner : MarshalByRefObject
{
    public void Execute(string assemblyPath)
    {
        var assembly = Assembly.LoadFrom(assemblyPath);
        // 假设用户代码包含Program类及Main方法
        var programType = assembly.GetType("Program");
        var mainMethod = programType.GetMethod("Main", BindingFlags.Public | BindingFlags.Static);
        mainMethod?.Invoke(null, null);
    }
}

编译并运行流程

// 编译用户代码到临时DLL
var compilerParams = new CompilerParameters
{
    GenerateExecutable = false,
    OutputAssembly = Path.Combine(Path.GetTempPath(), Guid.NewGuid() + ".dll")
};
var csharpProvider = CodeDomProvider.CreateProvider("CSharp");
var compileResult = csharpProvider.CompileAssemblyFromSource(compilerParams, userInputCode);

if (!compileResult.Errors.HasErrors)
{
    // 配置沙箱权限：仅允许代码执行
    var restrictedPermissions = new PermissionSet(PermissionState.None);
    restrictedPermissions.AddPermission(new SecurityPermission(SecurityPermissionFlag.Execution));

    var domainSetup = new AppDomainSetup
    {
        ApplicationBase = AppDomain.CurrentDomain.BaseDirectory
    };

    // 创建沙箱AppDomain
    var sandboxDomain = AppDomain.CreateDomain("UserCodeSandbox", null, domainSetup, restrictedPermissions);

    try
    {
        // 加载代理并执行用户代码
        var runner = (UserCodeRunner)sandboxDomain.CreateInstanceAndUnwrap(
            typeof(UserCodeRunner).Assembly.FullName,
            typeof(UserCodeRunner).FullName
        );
        runner.Execute(compilerParams.OutputAssembly);
    }
    finally
    {
        // 卸载沙箱并清理临时文件
        AppDomain.Unload(sandboxDomain);
        File.Delete(compilerParams.OutputAssembly);
    }
}

内容的提问来源于stack exchange，提问作者ConnorM