如何隔离NodeJS服务器以安全运行用户输入测试代码、规避恶意攻击

核心设计原则 #

所有方案围绕「最小权限、强隔离、易扩展」三个原则设计，无需针对单个语言做深度定制，后续新增编程语言只需要补充对应运行时镜像即可。

具体落地措施 #

• 第一层：容器级强隔离
  所有用户代码绝对不能直接在业务宿主机进程中运行，每次代码执行请求都启动一个一次性的临时容器：
  • 容器镜像提前裁剪到最小，仅保留对应语言的基础运行环境，无任何额外工具、无密钥/环境变量等敏感信息
  • 启动容器时禁用网络权限、挂载所有系统目录为只读，只开放一个可写的临时目录，代码执行结束后容器立即销毁无残留
  • 强制限制容器的CPU核心数、内存上限、最大运行时长，超时直接终止进程，避免死循环、资源占用型恶意代码影响服务稳定性
• 第二层：运行时权限裁剪
  在容器内部针对不同语言做基础的权限限制，从运行层面屏蔽敏感操作：
  • 针对你当前的JS场景：不要直接使用默认上下文的new Function，而是给生成的函数绑定一个完全干净的自定义上下文，提前删除require、process、global等Node原生全局对象，确保用户代码访问不到任何系统级API
  • 针对其他语言：同理屏蔽对应敏感能力，比如Python禁用os、sys模块导入，Java禁用文件IO、网络相关类的初始化
• 第三层：静态检测前置拦截
  代码进入运行环节前先做静态扫描，匹配各语言的敏感操作关键字（比如fs.readFile、os.exec、file_put_contents等），命中规则的直接拦截返回，减少恶意代码进入运行环节的概率
• 第四层：输出结果过滤
  代码运行完成后的返回值、报错信息统一做过滤，避免用户通过构造恶意代码把容器内部的敏感信息、系统路径等内容通过返回结果带出

补充说明 #

客户端iframe运行仅适用于纯JS场景，且存在用户篡改前端测试逻辑伪造校验结果的风险，如果你需要可信的测试结果、或者要兼容多语言，服务端隔离运行是更稳妥的选择。如果不想自行维护容器集群，也可以基于开源的通用代码执行沙箱项目做二次开发，核心能力通用，后续新增编程语言仅需补充对应运行环境的镜像即可，无需修改核心安全逻辑。

内容的提问来源于stack exchange，提问作者Narek-T