Node.js TS服务器动态加载运行时自定义规则文件方案咨询

我正在用TypeScript编写Node.js服务器，制作一个Google Firebase克隆版（仅用于个人网站练手）。我实现了一套声明式数据库访问规则系统（类似Firestore规则），类型定义如下：

interface Rule {
    read?: boolean | ((args: ReadValidationArguments) => boolean | undefined)
    write?: boolean | ((args: WriteValidationArguments) => Promise<boolean | undefined>)
    indexes?: Index[]
}

type Rules = Partial<Record<string, Rule>>

const rules: Rules = {
    "posts": {
        read: true,
        write: async ({session, fields}) => 
              args.session?.roles.includes("admin") 
              && fields.author?.uid === args.session?.uid,
        indexes: [{field: "urlSlug", unique: true}]
    },
}

目前规则硬编码在后端，希望通过服务器端点接收新的rules.ts文件，动态编译加载并使用，同时尽可能保证类型安全。我了解过动态import，但对类型处理没有清晰思路，考虑过在服务器内创建带独立package.json和tsconfig的子目录，放入文件后执行npm build。请问该方案是否可行？如何实现？还有其他可行方案吗？如何保证类型安全？

一、子目录独立编译方案的可行性与实现 #

这个方案完全可行，核心是把上传的rules.ts放到独立环境编译后再加载，具体步骤如下：

1. 搭建子目录编译环境

   • 在服务器根目录创建dynamic-rules子目录，初始化package.json，安装typescript以及项目依赖的类型包（比如包含ReadValidationArguments等类型的文件/包）
   • 配置tsconfig.json：确保target、module和主服务器一致（比如ESNext、CommonJS），设置outDir为dist，并引入主项目的类型定义路径，保证规则代码能识别自定义类型

2. 接收并存储规则文件

   • 写一个POST端点，接收上传的rules.ts文件，将其写入dynamic-rules/src/rules.ts（建议覆盖前备份旧文件，避免编译失败导致无规则可用）

3. 编译与动态加载

   • 通过child_process执行npm run build（提前在子目录的package.json里把build脚本设为tsc）
   • 编译完成后，用import()动态加载dynamic-rules/dist/rules.js，注意处理导出逻辑（要求上传的rules.ts必须默认导出或命名导出符合Rules类型的对象）
   • 加载后先做类型校验，通过后再替换当前使用的规则

二、其他可行方案 #

1. 直接用TypeScript编译器API动态编译

   • 不需要独立子目录，直接在服务器里调用ts.transpileModule方法，把上传的rules.ts代码转译为JavaScript
   • 转译时传入包含必要类型定义的编译选项，确保代码能正确解析自定义类型
   • 转译后的代码可以通过vm模块在沙箱中执行，获取导出的规则对象，避免污染全局环境

2. 用SWC替代TS编译器

   • SWC是性能更快的TS转译工具，同样支持API调用直接转译代码，适合服务器端动态编译的场景
   • 配置好类型路径后，转译速度比官方tsc快很多，能减少服务器等待时间

3. JSON规则+自定义解释器

   • 如果不想动态执行代码，可以把规则定义为带约束的JSON结构，比如把read/write规则写成表达式字符串，在服务器里用自定义解释器执行
   • 这种方式更安全，但灵活性不如直接加载TS代码，适合规则逻辑不复杂的场景

三、保证类型安全的措施 #

1. 编译时类型校验

   • 不管用哪种方案，都要确保上传的rules.ts能通过TS类型检查：独立子目录编译时，tsc会自动校验是否符合Rules类型；用编译器API时，开启noEmitOnError选项，只有类型正确的代码才会被转译

2. 运行时类型校验

   • 加载规则对象后，用zod或io-ts这类类型校验库定义Rules对应的Schema，对加载后的对象进行校验
   • 示例（用zod）：

     import { z } from "zod";
     
     const IndexSchema = z.object({
       field: z.string(),
       unique: z.boolean()
     });
     
     const RuleSchema = z.object({
       read: z.union([z.boolean(), z.function()]).optional(),
       write: z.union([z.boolean(), z.function()]).optional(),
       indexes: z.array(IndexSchema).optional()
     });
     
     const RulesSchema = z.record(z.string(), RuleSchema).partial();
     
     // 加载后执行校验
     const validatedRules = RulesSchema.parse(loadedRules);
     

   • 校验不通过则拒绝加载，避免不符合类型的规则导致服务器报错

3. 沙箱隔离运行

   • 动态加载的规则代码存在安全风险，用node:vm模块创建沙箱环境，限制代码能访问的全局变量（比如禁止访问fs、child_process等危险模块）
   • 示例：

     import { vm } from "node:vm";
     
     const context = {
       Promise: globalThis.Promise,
       // 只暴露规则代码需要的类型定义
       ReadValidationArguments: ReadValidationArguments,
       WriteValidationArguments: WriteValidationArguments
     };
     
     const script = new vm.Script(transpiledCode);
     const result = script.runInNewContext(context);
     const rules = result.default || result.rules;
     

内容的提问来源于stack exchange，提问作者Nathan