Web应用沙箱隔离需分层设防：Node.js用isolated-vm，前端用Worker+MessageChannel，服务端用gVisor/Kata；必设内存上限、执行超时、全局对象剥离、Reference禁用；关闭网络与文件系统，拦截危险操作并联动日志告警；上线前须用典型逃逸模式验证。
配置 Web 应用运行环境的沙箱隔离，核心是限制能力、切断路径、监控异常。不能只靠一个组件“开箱即用”，而要分层设防，从进程、上下文、资源到通信全部收紧。
明确沙箱边界与执行层级
先判断你的代码运行在哪一层：
- Node.js 后端脚本：优先用 isolated-vm（非 vm 或 vm2），它提供真正的 V8 Isolate 内存隔离；vm 模块存在原型链污染、constructor 绕过等成熟逃逸链，vm2 也多次曝出 CVE
- 前端动态脚本：用 Web Worker + MessageChannel 构建双层通信，禁止 eval、Function 构造器、with、setTimeout 字符串参数，并通过白名单控制可调用 API
- 服务端容器化部署：在容器外加一道安全沙箱，例如 gVisor 或 Kata Containers，让容器进程无法直接系统调用，阻断提权后 syscall 级逃逸
关键配置项必须设限
无论选哪种方案，以下参数不可省略或留默认值：
-
内存上限：isolated-vm 中设置
memoryLimit: 64（单位 MB），注意这是软限制，需配合宿主 cgroup 二次限制 -
执行超时：所有脚本运行必须带
timeout: 1000（毫秒），超时强制 terminate，防止死循环或堆耗尽攻击 -
全局对象剥离：禁止向沙箱注入
process、global、Buffer、require、__proto__、constructor；只允许显式传入极简 context，如{ console: { log() {} } } -
Reference 对象禁用：绝不把
ivm.Reference或ivm.ExternalCopy直接挂到沙箱 global 上；所有数据传递走.copyInto()或 JSON 序列化再反序列化
权限最小化与行为拦截
沙箱不是“信任区域”，而是“能力剥夺区”：
- 关闭网络能力：isolated-vm 默认无网络，但若需 fetch，应代理到宿主并做域名白名单+响应体过滤
- 禁用文件系统访问：不挂载任何 host 路径，
fs、path、child_process全部不可见 - 拦截危险操作：对 Worker 使用
Object.freeze(Object.prototype)+ Proxy 拦截eval、new Function、atob/btoa（用于混淆）、postMessage非法 payload - 日志与告警联动：记录每次沙箱创建/销毁、超时/崩溃事件，异常退出码（如 OOM、SIGSEGV）立即触发告警
上线前必须做的验证动作
配置完不等于安全，要用已知逃逸模式反向验证：
- 尝试执行
global.process.mainModule.require('child_process').execSync('id')—— 应报 ReferenceError - 尝试构造
{}.__proto__.constructor.constructor('return process')()—— 应被语法解析或运行时拦截 - 尝试分配 256MB Array 并触发 GC —— 应在 64MB 附近被 isolate 终止
- 尝试在 Worker 中调用
fetch访问黑名单域名 —— 应返回空响应或抛错
