嵌入式Nashorn-沙盒执行

Question

我想得到一个关于如何在Java应用程序中沙箱执行Nashorn的明确答案。

我见过“类似的问题”（我将提及），但最终没有一个答案能够解决我的担忧。

让我从定义开始。

假设我们从这里开始：

ScriptEngine engine = new ScriptEngineManager().getEngineByName("JavaScript");
engine.put("map",new HashMap()); 
engine.eval(jsCode); // jsCode can access 'map' only.

我所说的“沙盒”是指确保JavaScript不得访问任何java对象，除了在范围中添加的对象。

所以下面的评估应该没问题。

engine.eval("map.toString()"); 
engine.eval("map.size()"); 
engine.eval("map.put('name','jeff'); "); 
engine.eval("map.getClass()"); 

但以下评估不会：

engine.eval("var m = new java.util.HashMap();"); // <-- stop accessing Java
engine.eval("map.getClass().forName('java.io.File'); "); // stop. it's trying to be sneaky

最后，我不担心这一点：

engine.eval("while(1) {;}"); // this is impossible to detect. Maybe it's possible for this simple case... but sneaky users could make it impossible to detect... anyway this is not what I am asking. I am only concerned on accessing java objects.

因此，通过沙盒，我打算阻止jsCode访问我没有定义的java对象。

我发现这可能是一个潜在的解决方案：

jdk.nashorn.api.scripting.NashornScriptEngineFactory factory = new  jdk.nashorn.api.scripting.NashornScriptEngineFactory();
ScriptEngine engine = factory.getScriptEngine(new jdk.nashorn.api.scripting.ClassFilter() {

    public boolean exposeToScripts(String s) {
        return false;
    }

});

但是直接访问以jdk.*开头的包“安全”吗？

我看到的另一种方法更为神秘：

final ScriptEngine engine = 
   new NashornScriptEngineFactory().getScriptEngine(new String[] { "--no-java" }); 

我在这里看到了一个：安全地重复使用沙盒Nashorn容器

有人能告诉我吗？

Answer 1

您可以使用jdk。纳肖恩。应用程序编程接口。脚本编制。*API，如果这对您的应用程序有帮助的话。同样的javadoc也在这里-

是的，--no-java是防止脚本代码访问java包的选项。