如何阻止Nashorn允许quit（）函数？

Question

我正在尝试为我们的系统添加一个脚本功能，不受信任的用户可以编写简单的脚本，并让它们在服务器端执行。我正在尝试使用Nashorn作为脚本引擎。

不幸的是，他们为Nashorn添加了一些非标准功能：

https://docs.oracle.com/javase/8/docs/technotes/guides/scripting/nashorn/shell.html#sthref29

向下滚动至“Additional Nashorn Build-in Functions”（其他Nashorn内置函数），然后查看“quit（）”函数。是的，如果不受信任的用户运行此代码，则整个JVM都会关闭。

这很奇怪，因为Nashorn特别期望运行不受信任的脚本。请参见：https://docs.oracle.com/javase/8/docs/technotes/guides/scripting/nashorn/api.html#classfilter_introduction

嵌入Nashorn的应用程序，尤其是服务器端JavaScript框架，通常必须从不受信任的源运行脚本，因此必须限制对Java API的访问。这些应用程序可以实现ClassFilter接口，以将Java类访问限制到Java类的子集。

有什么方法可以防止这种行为吗？如何防止用户运行任何附加功能？

Answer 1

如果要运行“不受信任”的脚本，请在打开SecurityManager的情况下运行程序。如果“退出”，则会导致SecurityException。ClassFilter本身并不能替代SecurityManager。它与SecurityManager一起使用。请在此处检查ClassFilter上的JEP：http://openjdk.java.net/jeps/202.JEP明确指出：

使安全管理器对脚本来说是多余的。嵌入式应用程序在评估来自不受信任来源的脚本之前仍然应该打开安全管理。单独的类过滤不会提供完整的脚本“沙盒”。即使只执行不受信任的脚本（没有额外的Java类），仍然应该使用安全管理器。类过滤提供了比安全管理器提供的更精细的控制。例如，Nashorn嵌入应用程序可能会阻止脚本或安全管理器可能允许的其他资源密集型操作产生线程。

Answer 2

不幸的是，目前无法控制非标准全局函数的创建。一种解决方法是，在初始化ScriptEngine后，只需从全局对象中删除这些函数：

final NashornScriptEngineFactory engineManager = new NashornScriptEngineFactory();
final ScriptEngine engine = engineManager.getScriptEngine();
final Bindings bindings = engine.getBindings(ScriptContext.ENGINE_SCOPE);
bindings.remove("print");
bindings.remove("load");
bindings.remove("loadWithNewGlobal");
bindings.remove("exit");
bindings.remove("quit");
System.err.println(engine.eval("'quit is ' + typeof quit"));

如果您使用的是Nashorn shell，那么一个简单的删除退出 即可。

如果使用ScriptEngine接口并创建多个绑定，则必须对创建的每个全局对象/绑定执行此操作。