javascript - 在 Electron 中禁用 nodeIntegration 有哪些限制？

Question

在 Electron 的 docs它允许我们启用或禁用nodeIntegration(默认情况下禁用)。禁用后，它会禁用整个应用程序使用 Node.js 功能还是仅禁用某个进程(主进程、渲染器进程和自定义模块)？

我听说使用nodeIntegration时存在安全问题。它们是什么？

我的应用程序可能只会被我自己用作个人用途。它将包括一个 localhost 服务器、一个自定义 API、一个通​​过我的自定义 API 访问并利用外部 API 的远程 MongoDB 数据库。如果 Node.js 被禁用，我将如何开发这个应用程序？

Answer 1

1. 只有渲染器进程会受到影响。主进程将始终可以访问node.js api。

2. 将 Node.js api 暴露到渲染器进程中会暴露本地系统的安全问题 - 这意味着渲染器进程中的任何 XSS 都可以具有系统访问权限(例如 fs 或 child_process)。通常渲染器进程是沙盒的，因此 XSS 仅限于其范围。

3. 即使禁用 Node 集成后，preload 脚本也可以始终访问 Node.js。预加载脚本可用于准备渲染器进程的接口(interface)，仅公开所需的访问/限制、验证输入攻击。