node.js - 有没有办法在 node.js 中限制子进程访问我的系统？

Question

我正在尝试构建一项服务，以在 node 中以不同语言执行 程序并提供输出。到目前为止，我正在使用 child_process 的 spawn 生成命令。

let p = spawn('python',[sourceFilePath]);

有什么方法可以限制此child_process 对我的系统的访问，使其无法访问网络、文件系统,等等？

Answer 1

除了设置子进程的 UID/GID 之外，Node.js 本身不提供任何机制来限制子进程仅使用可用资源的子集，这可能不足以满足您的目标。

请注意，远程代码执行作为一种商业模式(即各种 *fiddle.org、在线 Playground 等)很难实现，因为保护主机操作是一项不平凡的任务系统。

I will assume that your program will eventually run on a Linux server as that is the most common type of servers available nowadays for Node.js deployments. Covering this topic for all types of operating systems would be too broad and probably not that helpful.

你的目标

• 使用用户提供的输入执行程序并将输出返回给用户
• 限制此程序访问部分或所有 I/O 资源(文件系统、网络、主机操作系统信息、内存等)
• 容忍恶意用户试图造成伤害/提取信息/破坏您的服务器等。

Node.js 在这里完全帮不上忙。 Node 可以生成子进程，仅此而已。它不控制任何这些 I/O 资源。 内核会。我们必须看看 Linux 内核在这方面提供了哪些功能。

我找到了一个 very detailed article about Linux sandboxing我将用它作为灵感的来源。如果您有兴趣，我建议您阅读并搜索类似的内容。

低级:Linux 命名空间

Linux 内核提供了低级机制来隔离各种系统资源中的进程。尽管我觉得这对于您的用例来说太低级了，但您可能想检查一下。

Firejail

Firejail 是一种工具，可将出于测试目的的进程与其他系统资源隔离开来。我从未使用过它，但看起来它可以用于您的用例。

容器(即 Docker)

容器通常利用 Linux 命名空间来创建一个环境，对于在其中运行的进程来说，它看起来像是一个完整的操作系统，即使它们允许与主机操作系统完全隔离。在容器内运行程序时，您可以限制网络访问、文件系统访问甚至 CPU/内存使用。

考虑到您的用例，我可能会选择容器隔离，因为如今它们周围的社区非常庞大，这增加了您找到合适的支持/文档​​来实现您的目标的可能性。