类CodingGame平台NodeJS用户脚本验证与执行方案咨询

一、安全隔离执行：替代本地文件的专业方案 #

专业编程测试平台不会直接在主机环境执行用户代码，核心是沙箱+隔离环境，针对你的EC2环境，推荐两种层级的隔离：

1. 内存级沙箱：NodeJS vm2模块 #

无需写入本地文件，直接在内存中安全执行用户代码，避免文件IO开销，同时严格限制用户代码权限：

• 用vm2替代原生vm模块（原生vm隔离性不足），它提供更严格的沙箱机制，可禁用process、fs等危险API
• 示例代码：

const { VM } = require('vm2');

// 配置沙箱：限制超时、禁用危险全局对象
const vm = new VM({
  timeout: 2000, // 2秒超时，防止死循环
  sandbox: {},
  allowAsync: false, // 若不需要异步代码可关闭
});

try {
  // 用户提交的代码（需要求用户实现指定函数）
  const userCode = `
function calculateGreeting(name) {
  // 用户修正后的逻辑，比如原本是错误拼接，现在返回正确结果
  return "hello " + name;
}
  `;
  // 执行用户代码
  vm.run(userCode);
  // 多测试用例验证逻辑正确性
  const testCases = [
    { input: "Alice", expected: "hello Alice" },
    { input: "Bob", expected: "hello Bob" }
  ];
  let allPass = true;
  for (const test of testCases) {
    const result = vm.run(`calculateGreeting("${test.input}")`);
    if (result !== test.expected) {
      allPass = false;
      break;
    }
  }
  console.log(allPass ? "测试通过" : "测试失败");
} catch (err) {
  console.log("代码错误：", err.message);
}

• 优势：轻量、无文件IO，适合初期小规模使用
• 局限：对复杂依赖或恶意沙箱突破的防御有限，适合简单代码验证场景

2. 容器级隔离：Docker（专业平台标配） #

对于长期或大规模使用，Docker是必须的，可完全隔离用户代码与主机环境：

• 在EC2上安装Docker，每个用户代码请求启动一个临时容器，执行完成后立即销毁
• 配置容器资源限制：--cpus=0.5（限制CPU使用率）、--memory=128m（限制内存）、--timeout=5s（容器超时）
• 执行逻辑：将用户代码通过stdin传入容器内的NodeJS进程，或挂载临时内存卷传递代码（避免写入磁盘）
• 示例Docker命令：

# 用官方Node镜像，从stdin读取并执行用户代码
echo "function getGreeting(){return 'hello';} console.log(getGreeting())" | docker run --rm --cpus=0.5 --memory=128m -i node:18-alpine node -

• 进阶：封装一个Node服务，接收用户代码后调用Docker API创建容器，获取执行结果返回给主API
• 优势：彻底隔离，防止恶意代码破坏主机，支持更复杂的代码场景
• EC2适配：Amazon Linux直接用yum install docker安装，启动Docker服务后即可使用

二、防止用户直接输出预期结果的约束方案 #

核心是不依赖console输出，强制用户实现指定逻辑入口：

• 要求用户实现特定函数（比如getResult()、solve(input)），平台主动调用该函数并验证返回值，而非监听console.log
• 若必须依赖输出，可重写console对象拦截固定字符串输出：

// 平台注入的前置代码
const originalLog = console.log;
let loggedContent = [];
console.log = (content) => {
  // 检测是否为直接写死的预期值（需结合代码内容判断，避免误判）
  if (content === "hello" && !userCode.includes("动态逻辑关键词")) {
    throw new Error("禁止直接输出固定结果，请修正逻辑");
  }
  loggedContent.push(content);
};
// 执行用户代码后验证loggedContent

• 更有效的方式：设计多维度测试用例，比如题目要求修正计算函数，除了基础输入，再加边缘场景输入，让用户无法通过写死输出蒙混过关

三、EC2环境的优化建议 #

• 资源配置：初期用t2.micro足够，用户量增大后可升级到t2.small，或开启Auto Scaling自动扩容
• 缓存：对重复测试用例或常见代码可缓存执行结果（需校验代码唯一性）
• 日志：用CloudWatch收集执行服务日志，方便排查问题
• 网络：将执行服务与主API放在同一VPC内，减少延迟

四、进阶方向 #

• 用AWS Lambda替代EC2执行代码：每个用户代码请求触发一个Lambda函数，完全Serverless，自动扩容，无需管理服务器（注意Lambda的超时和资源限制）
• 集成测试框架：用Jest编写标准化测试用例，让用户代码在Jest环境中运行，自动生成测试报告

内容的提问来源于stack exchange，提问作者julien Dupont