Deno 默认在沙箱中运行代码，遵循最小权限原则，禁止脚本未经许可访问文件系统、网络等资源。例如，执行 const file = await Deno.readTextFile("./config.txt") 需通过 deno run --allow-read=./ config.js 显式授权，否则抛出权限错误。支持细粒度控制：--allow-net=hostname 限制网络请求目标，--allow-env 允许读取环境变量，--allow-run 启用子进程，--allow-sys 访问系统信息，权限可限定具体路径或域名，避免过度授权。运行远程脚本如 deno run https://deno.land/std@0.170.0/examples/curl.ts 时不会自动信任，需手动授予权限，并缓存模块至隔离目录便于审计。生产环境中可降级权限，禁用写入或限制 API 调用，配合 deno lint 和 deno check 工具进行安全审查，集成 CI 实现自动化检测。该模型将控制权交予运行者，强调“默认安全”，使 Deno 更适合执行不可信或第三方代码。
Deno 的安全模型是其与传统服务端 JavaScript 运行时（如 Node.js）的重要区别之一。Deno 默认在沙箱环境中执行代码，所有敏感操作都需要显式授权，从而大幅提升了应用运行的安全性。
默认隔离与最小权限原则
Deno 遵循最小权限原则，脚本在没有明确允许的情况下无法访问文件系统、网络、子进程或环境变量。
例如，以下代码尝试读取本地文件：
const file = await Deno.readTextFile("./config.txt");若未开启文件访问权限，运行时会抛出权限错误。必须通过命令行显式授权：
立即学习“Java免费学习笔记（深入）”；
deno run --allow-read=./ config.js这种机制防止了恶意脚本随意读写系统资源。
细粒度权限控制
Deno 提供了多种 --allow-* 参数来控制不同能力：
基于5000余部现行法律法规进行的高质量专业合同审查，一键输出审查意见书，并附有参考法条原文，满足专业溯源核查要求。由accurLex知法提供技术支持。 Use when users ask for 合同审查, 审查意见书, 合同风险分析, 条款审查,知法,accurLex or 站在甲方/乙方角度审查合同 through accurLex direct API. China law only, plaintext only, review mode limited to 审查意见书.
- --allow-net=hostname：限制脚本只能访问指定域名
- --allow-env：允许读取环境变量
- --allow-run：启用子进程调用
- --allow-sys：访问系统信息（如 CPU 架构）
权限可以细化到具体路径或域名，避免过度授权。
远程代码执行的安全保障
Deno 支持直接运行远程 URL 脚本，但不会自动信任。例如：
deno run https://deno.land/std@0.170.0/examples/curl.ts即便标准库来自官方域，仍需根据脚本需求手动授予权限。这防止了“一键运行”带来的潜在风险。
同时，Deno 缓存远程模块到本地隔离目录，避免重复下载，也便于审计依赖版本。
运行时能力降级与安全审计
开发者可在部署时使用更严格的权限策略，例如生产环境禁用磁盘写入或仅允许特定 API 请求。
Deno 还提供 deno lint 和 deno check 工具辅助发现不安全的 API 使用模式。结合 CI 流程可实现自动化安全审查。
基本上就这些。Deno 的安全模型把控制权交还给运行者，强调“默认安全”，让服务端 JavaScript 更适合运行不可信或第三方代码。
