C集成Lua 5.3.5时如何限制脚本权限以禁用OS相关函数

Lua 5.3.5没有开箱即用的运行时开关来直接禁用指定函数，但提供了编译期、运行期两类原生机制实现权限控制，完全可以满足你禁止os.execute这类危险系统调用的需求：

1. 运行期动态裁剪（最常用，灵活度最高） #

在C层初始化Lua虚拟机后，直接修改全局环境表删除危险函数，或按需加载标准库：

• 方案A：加载全量标准库后删除危险字段
  调用luaL_openlibs加载所有标准库后，主动删除os、io、package等表中的危险函数，示例代码如下：

  lua_State *L = luaL_newstate();
  luaL_openlibs(L);
  
  // 裁剪os表，仅保留安全函数
  lua_getglobal(L, "os");
  // 删除危险系统调用
  lua_pushnil(L);
  lua_setfield(L, -2, "execute");
  lua_pushnil(L);
  lua_setfield(L, -2, "remove");
  lua_pushnil(L);
  lua_setfield(L, -2, "rename");
  lua_pushnil(L);
  lua_setfield(L, -2, "exit");
  lua_pushnil(L);
  lua_setfield(L, -2, "getenv");
  lua_pop(L, 1);
  
  // 同理可以裁剪io表、package表的危险函数
  

  裁剪完成后，Lua脚本中调用os.execute会触发 nil 调用错误，无法执行系统命令。
• 方案B：按需加载安全标准库
  不调用一次性加载全量库的luaL_openlibs，只单独加载你需要的安全库，彻底移除危险库的入口：

  lua_State *L = luaL_newstate();
  // 仅加载基础、字符串、数学、表这类无系统操作权限的库
  luaopen_base(L);
  luaopen_string(L);
  luaopen_math(L);
  luaopen_table(L);
  // 不要调用 luaopen_os、luaopen_io、luaopen_package 等危险库的加载函数
  

  该方案下Lua全局环境中根本不存在os表，完全无法访问任何系统相关函数。

2. 编译期静态配置 #

如果不需要动态调整权限，可以直接修改Lua 5.3.5源码中的luaconf.h和linit.c文件，注释掉不需要的标准库的编译和加载入口，重新编译出来的Lua库本身就不带危险函数，属于静态裁剪。

内容的提问来源于stack exchange，提问作者fanta