Web Worker 更适合未经审计的第三方计算脚本，因其线程级隔离：不共享内存、无 DOM 访问权、崩溃不波及主线程、无法篡改全局环境。
用 Web Worker 隔离未经审计的第三方计算逻辑，核心是利用其物理线程隔离特性——Worker 与主线程完全不共享内存、无法访问 DOM、window、document 等任何宿主 API，崩溃也不会影响页面稳定性。这比 Proxy 沙箱或 iframe 更彻底，特别适合运行来源不明、功能复杂但仅需纯计算结果的第三方代码。
为什么 Worker 比其他方式更适合“未经审计”的逻辑
第三方计算脚本若含恶意操作（如无限循环、篡改全局对象、高频 timer、异常内存占用），在主线程或 Proxy 沙箱中仍可能拖慢 UI 或触发安全漏洞。而 Worker：
- 天然无 DOM 权限，杜绝 XSS 类副作用
- 独立线程崩溃（如
while(true){}）只终止自身，主线程照常响应 - 无法读写 localStorage、cookie、indexedDB（除非显式调用，且受同源策略约束）
- 不继承主线程的原型链和全局变量，执行环境干净
安全接入第三方计算逻辑的实操要点
不能直接把第三方 JS 文件丢进 new Worker() 就完事。需控制加载、通信、超时和销毁四个关键环节：
- 不直接加载远程脚本：Worker 构造函数只接受同源 URL（或 Blob URL）。第三方代码必须先下载、校验（如比对哈希）、再转为 Blob 创建 Worker，避免中间人注入
-
强制设置执行时限：主线程用
setTimeout监控 Worker 响应，超时即worker.terminate()。Worker 内部无法用setTimeout自我中断，必须靠主线程强杀 -
通信数据最小化 & 类型校验：只传必要参数（如输入数组、配置项），禁止传函数、class 实例、DOM 节点；主线程收到
event.data后，用typeof和Array.isArray等做基础类型检查，再交由业务逻辑处理 -
禁用危险全局方法（可选加固）：在 Worker 初始化时，可覆盖
self.eval、self.Function、self.setInterval等为undefined或抛错函数，进一步限制动态执行能力
推荐结构：封装一个安全 Worker 客户端
把上述逻辑收敛成可复用模块，例如：
function createSafeWorker(url, { timeout = 5000 } = {}) {
const blob = new Blob([`importScripts("${url}");`], { type: 'application/javascript' });
const worker = new Worker(URL.createObjectURL(blob));
return {
post(data) {
const controller = new AbortController();
const id = setTimeout(() => {
worker.terminate();
controller.abort();
}, timeout);
return new Promise((resolve, reject) => {
worker.onmessage = (e) => {
clearTimeout(id);
resolve(e.data);
};
worker.onerror = (err) => {
clearTimeout(id);
reject(err);
};
worker.postMessage(data);
});
}
};
}
// 使用
const calc = createSafeWorker('./third-party-algo.js');
calc.post({ input: [1,2,3,4], mode: 'fast' })
.then(console.log)
.catch(console.error);
注意边界：Worker 不是万能沙箱
它解决的是计算逻辑隔离，不是完整应用沙箱：
- 不阻止网络请求：第三方代码仍可调用
fetch，需在服务端配合 CORS 或网关拦截 - 不隔离 IndexedDB：同源下仍可读写，敏感数据应避免存于 Worker 可达范围
- 不防侧信道攻击：极端场景下，通过执行时间、内存占用等仍可能推测输入，高安全场景需额外防护
- 不替代代码审计：Worker 是纵深防御一层，不能取代对关键第三方逻辑的静态分析与行为验证
