javascript - 允许用户提交的 JS 在不影响安全性的情况下执行

Question

抱歉，我知道这很含糊。

我正在开发一个网站，用户可以在该网站上提交他们自己的应用程序以在该网站上执行。这些应用程序将以 javascript 执行，网站上的任何人都可以在他们的浏览器中运行。问题是我需要限制用户可以在他们的应用程序中访问 javascript 的哪些方面。我希望他们能够做的就是:

• 创建和操作他们自己的变量和函数。
• 调用我自己编写的预定义 JS API。

有人有什么想法吗？我现在正在考虑两种选择。要么他们用 JS 编写它，我确保其中没有讨厌的代码，要么他们用 python 等语言编写它，然后我迭代它，将它变成安全的 javascript。

我所有服务器端的东西都是用 PHP 编写的，所以我希望将用户提交的代码作为 PHP 字符串进行操作。

再次道歉，我不是要人们为我编写代码，我知道这个网站是为了解决特定的代码错误，但我不知道还有什么办法可以解决这个问题。

Answer 1

我看到的唯一解决方案是创建一个沙盒环境。尝试 this (我从未使用过它)。如果这不起作用，您应该考虑定义一种元语言，以便用户以这种元语言提交脚本，然后他们将它们“编译”为 javascript。任何其他选项都是危险的，因为您正在将脚本上传到您的服务器。