javascript - 在 Javascript 中嵌入 Javascript(我是认真的)？

Question

我正在从事一个项目，玩家可以在该项目中将图形对象放置在网站上并使用脚本对其进行动画处理。由于脚本将共享给所有参与的客户端，脚本环境必须是沙盒的，这样用户就不会最终破坏页面所有部分的其他用户体验。

脚本可以访问共享的视觉内容至关重要。因此，我无法将它们完全隔离在 iframe 中 - 除此之外，我想知道是否有更流畅的方法来分离上下文。

我一直在尝试使用原生版本，我在其中使用了使用 V8 javascript 引擎的单独上下文，但现在我想将它带到浏览器中 - 即使它只是谷歌浏览器。

有什么想法吗？

Answer 1

沙箱化 JavaScript 本身就很困难，无论您如何努力，脚本都有可能成功突破。更好的做法可能是将脚本加载到 iframe 而无需直接访问主框架，并允许它通过 window.postMessage() 与主框架通信。 .然后，您可以定义一个 API，允许框架以这种方式使用而不会被赋予太多权力。

编辑:Web Workers 也是可能的如 Is It Possible to Sandbox JavaScript Running In the Browser? 中所述，浏览器对网络 worker 的支持并不像 window.postMessage() 那样广泛(比较 http://caniuse.com/#search=postMessage 和 http://caniuse.com/#search=workers)。