节点。js错误：getaddrinfo Enotfind在chroot jail中发出http请求

Question

我正在尝试执行一个节点。js子进程，以防止它访问其目录之外的文件系统。

但是，当我这样做时，应用程序无法再通过“请求”模块发出http请求。我提出的任何请求都以“错误：getaddrinfo ENOTFOUND”结尾。

节点中有一个问题已解决。js项目似乎建议您需要替换dns的实现。查找或复制/等/解决。进入监狱（对我来说都不管用）：https://github.com/joyent/node/issues/3399

还有一个谷歌群组线程：https://groups.google.com/forum/#！主题/nodejs/Qb_LMLulZS4

这似乎建议您应该“将绑定库及其所有依赖项也放入监狱”我不明白这种说法。

有没有人能正确地使用它来分享他们所做的事情？

Answer 1

我不知道child进程中的chroot。

但是对于使用chroot npm包，我发现如果我使用了dns。lookup（）在chroot之前，dns查找即使在chroot之后也能正常工作。

<代码>dns。lookup（）将在chroot之前将调用getaddrinfo（）所需的库加载到内存中。

Answer 2

也许这并不能回答你的问题，但我想提供我的研究结果。

var ls = require('child_process').spawn('chroot', ['/mnt/chroot/wheezy-chroot', 'node', '/root/simple-server.js']);

ls.stdout.on('data', function (data) {
  console.log('stdout: ' + data);
});

ls.stderr.on('data', function (data) {
  console.log('stderr: ' + data);
});

ls.on('close', function (code) {
  console.log('child process exited with code ' + code);
});

这个脚本工作正常——simple-server.js听并回答帖子查询，所以我想问：你如何创建你的chroot环境？我已经使用Debian的debootstrap实用程序创建了我的：

cd /mnt/chroot/
dehtml" target="_blank">bootstrap wheezy ./wheezy-chroot http://ftp.us.debian.org/debian
cd wheezy-chroot

然后像往常一样挂载proc、sys和dev：

mount -t proc none proc
mount --rbind /dev dev
mount --rbind /sys sys

此外，我还装载了usr/local以访问节点。我建议“将绑定库及其所有依赖项也放入监狱。”语句意味着挂载您需要的所有东西，例如，在我的情况下，挂载-o bind/usr/local/mnt/chroot/wheezychroot/usr/local。

如果我完全没有回答，我会留下这个链接：https://github.com/magne4000/node-jail--也许你觉得这个软件包有用。

最后一件事：据我所知，chroot在某些情况下不是安全的解决方案(http://en.wikipedia.org/wiki/Chroot#Limitations). 也许你应该看看像FreeBSD监狱甚至LXC这样的机制。