LuaJIT+Sol3实现沙箱环境Require且不污染全局状态

核心思路 #

要实现不污染全局状态且模块全局变量仅作用于沙箱，关键在于：

• 为每个沙箱创建独立的环境表，替代默认的_G作为脚本和模块的全局环境
• 重写沙箱内的require函数，确保加载的模块编译时将_ENV指向沙箱环境
• 严格隔离沙箱环境与Lua全局状态，仅按需导入必要的全局函数和Sol3绑定接口

具体实现步骤 #

1. C++侧（Sol3）创建沙箱环境 #

通过Sol3构建沙箱的独立环境，导入标准库工具并改造require：

#include <sol/sol.hpp>
#include <luajit-2.1/lua.hpp>

sol::environment create_sandbox(sol::state& lua) {
    // 创建沙箱环境，可选继承全局表以导入标准库
    sol::environment sandbox(lua, sol::create, lua.globals());

    // 重写沙箱内的require，确保模块使用沙箱环境
    sandbox["require"] = [&lua, sandbox](const std::string& module_name) -> sol::object {
        // 沙箱独立维护模块缓存，避免跨沙箱共享状态
        sol::table sandbox_modules = sandbox.get_or_create<sol::table>("package.loaded");
        if (sandbox_modules[module_name].valid()) {
            return sandbox_modules[module_name];
        }

        // 加载模块源码
        sol::load_result loader = lua.load_file(module_name);
        if (!loader.valid()) {
            sol::error err = loader;
            throw std::runtime_error("Failed to load module: " + err.what());
        }

        // 绑定模块运行环境到沙箱
        sol::protected_function module_func = loader;
        module_func.environment(sandbox);

        // 执行模块并缓存结果
        sol::object result = module_func();
        sandbox_modules[module_name] = result;
        return result;
    };

    // 将Sol3绑定的C++接口注册到沙箱环境（而非全局_G）
    sandbox["cpp_demo_func"] = []() {
        return "C++ function accessible only in sandbox";
    };

    return sandbox;
}

int main() {
    sol::state lua;
    lua.open_libraries(sol::lib::base, sol::lib::package);

    // 创建沙箱并运行脚本
    sol::environment sandbox = create_sandbox(lua);
    sol::load_result script = lua.load_file("sandbox_main.lua");
    script.environment(sandbox);
    script();

    // 验证全局状态未被污染
    sol::optional<int> global_v = lua["v"];
    if (!global_v.has_value()) {
        std::cout << "Global v is nil (correct)\n";
    }

    // 验证沙箱内的目标值
    sol::optional<int> sandbox_v = sandbox["v"];
    if (sandbox_v.has_value() && sandbox_v.value() == 42) {
        std::cout << "Sandbox v is 42 (correct)\n";
    }

    return 0;
}

2. Lua侧沙箱主脚本（sandbox_main.lua） #

所有操作均在沙箱环境内执行：

local moduleXY = require"moduleXY"
v = 0
moduleXY.setV()

-- 沙箱内验证变量值
print("Sandbox v after setV:", v) -- 输出42

3. 模块脚本（moduleXY.lua） #

无需修改原代码，重写后的require会自动将模块_ENV绑定到沙箱：

local function setV ()
  v = 42 -- 此处v为沙箱环境变量，与全局_G无关
end

local moduleXY = {
   setV = setV
}

return moduleXY

关键细节说明 #

• 环境隔离：沙箱环境通过sol::environment创建，若需严格隔离可取消全局表继承，手动导入所需工具函数。
• 模块缓存隔离：每个沙箱独立维护package.loaded，避免不同沙箱共享模块实例，确保状态完全隔离。
• Sol3绑定处理：所有沙箱需访问的C++绑定必须注册到沙箱环境，而非全局_G。
• LuaJIT兼容性：LuaJIT对_ENV的处理与Lua 5.1完全一致，上述代码可直接兼容LuaJIT环境。

内容的提问来源于stack exchange，提问作者alf_gralf