java - 使用 java 脚本 API 查找和销毁不良/恶意 java 脚本代码

Question

我正在开发一个 servlet(在 tomcat 上运行)，它接收包含 Java 脚本代码的请求，并使用 java 脚本 API 框架评估/运行代码并将答案返回给用户。

由于我们处理的是用户生成的代码，因此代码可以是好代码，也可以是坏代码。作为错误代码的示例可以是 while(true);这将在服务器中无休止地循环占用不必要的资源

我的问题

1) 我怎样才能发现错误的代码？2) 一旦被识别为不良/恶意代码，停止运行的最佳方法是什么？

谢谢

Answer 1

我的问题是:什么算作错误代码？

如果您不能对什么是坏代码提出正式定义，您就无法指望能够检测到它。由于这可能是您问题的真正含义，我将提出我的答案 - 没有办法做到这一点。

即使是whether a program will terminate or not这样看似微不足道的事情无法提前确定，我希望任何错误代码的定义都是无法终止的。

因此在我看来，您有一个主要选择:信任您的用户(或者不信任他们并且不运行任何东西)。

在其他情况下可能的工作是在严格的沙箱中运行脚本，并在适当的时间后终止它(如果它尚未完成运行)。至于什么是可接受的，这在很大程度上取决于您的情况。