微沙箱的核心目标是在不污染全局、不泄露敏感数据、不突破作用域前提下安全执行第三方脚本；其隔离依赖执行上下文构造，而非async/await本身，需通过Function构造器+闭包创建纯净域，注入封装API并屏蔽危险原语，统一管控异步流与执行后清理。
理解微沙箱的核心目标
微沙箱不是单纯“不让代码报错”，而是要在不污染全局环境、不泄露敏感数据、不突破作用域边界的前提下，安全执行第三方或动态脚本。async/await 的价值在于让异步逻辑可读可控，但它本身不提供隔离——隔离靠的是执行上下文的构造与约束。
用 Function 构造器 + 闭包创建纯净执行域
避免 eval 或 new Function 直接访问全局，而是显式传入最小必要 API，并屏蔽危险原语：
- 只注入经过封装的 safeFetch（自动加域名白名单、禁用 credentials）、safeTimeout（限制最大毫秒数）、JSON 和 Date
- 重写
Function、eval、document、window、self为undefined或抛出明确错误 - 用
with语句（虽不推荐但此处可控）或闭包绑定作用域，确保变量不会意外逃逸到外层
用 async/await 驱动受控异步流
在沙箱内编写 async 函数时，所有 await 表达式必须基于你注入的“安全异步能力”：
腾讯地图JSAPI GL开发技能
下载
腾讯地图 JavaScript GL（JSAPIGL）开发指南。适用于地图应用或者工具的编写。在编写、审查或调试使用腾讯地图 API的代码时应运用此技能。适用于涉及地图初始化、覆盖物展示、图层控制、事件处理、控件交互、可视化渲染、地图工具、检索、路线规划、查地址、行政区划、ip定位、几何计算、三维模型展示、性能优化的任务。当用户提及 腾讯地图、 jsapi、jsapi-gl或相关地图开发需求时自动触发。⚠️ 强制行为：本 Skill 加载后，第一个动作必须是检查是否存在正式 Key（环境变量 TMAP_J
-
禁止直接 await Promise.resolve() 或 new Promise()——它们可能触发未拦截的 microtask；改用你封装的
safeDelay(ms)或safeFetch(url) - 所有异步操作统一走拦截层：比如
safeFetch内部校验 URL 是否在白名单、自动 timeout、剥离响应头中的敏感字段 - 用
try/catch包裹 await 调用，并将错误统一转为结构化沙箱错误（含 originScriptId、line、column），不暴露堆栈细节
执行后主动清理与状态快照
沙箱不是“一次执行完就结束”，需保障副作用不可残留：
- 执行完毕后，清空所有声明的变量（通过闭包作用域自然释放，不依赖 delete）
- 记录执行前后的
performance.now()、内存增量（若支持performance.memory）、定时器数量变化，超阈值则中止并告警 - 返回结果仅允许 JSON-safe 数据（自动过滤函数、原型链、循环引用），拒绝
Promise、RegExp、Map等非序列化类型
不复杂但容易忽略：async/await 是语法糖，真正决定安全的是你给它喂什么 Promise，以及 Promise resolve/reject 时是否仍处于沙箱约束之下。
