因为os/exec是进程隔离，无法共享内存、变量和错误上下文，也不能在脚本中调用Go函数；真正内嵌需解释器级集成，goja比已归档的otto更活跃、支持ES2020+、API更干净且原生支持require模拟和Go函数注入。
为什么不用 os/exec 直接跑 shell 脚本？
因为你要的是“内嵌”——脚本逻辑得和 Go 主程序共享内存、变量、错误上下文，而不是起个子进程再 parse stdout。用 os/exec 本质是进程隔离，无法读取 map[string]interface{} 类型的上下文，也不能在脚本里调用 Go 函数。真正轻量的内嵌执行，得选解释器级集成，不是命令行封装。
选 otto 还是 goja？
otto 已归档、不维护，ECMAScript 5.1 支持，Date 和 JSON 行为有坑；goja 活跃、支持 ES2020+，API 更干净，且原生支持 require 模拟和 Go 函数注入。除非你明确要兼容老浏览器语法，否则直接上 goja。
- 安装：
go get github.com/dop251/goja - 基础执行示例：
vm := goja.New() _, err := vm.RunString(`Math.sqrt(16)`) // 返回 4
- 注意：
goja默认不带console或setTimeout，要自己注册
如何把 Go 函数安全暴露给 JS 脚本？
不能直接传方法指针，得用 goja.CallableFunc 或 vm.ToValue() 包装。重点是错误处理必须转成 *goja.Exception，否则 JS 里 try/catch 捕不到。
- 暴露一个读配置的函数：
vm.Set("getConfig", func() goja.Value { return vm.ToValue(func(call goja.FunctionCall) goja.Value { key := call.Argument(0).ToString() if val, ok := configMap[key]; ok { return vm.ToValue(val) } return vm.ToValue(nil) }) }) - 暴露时别漏掉
call参数——它是 JS 调用时的上下文入口 - 避免在 JS 里直接操作 Go 的 struct 指针，容易引发 data race；一律转成 map 或 JSON 字符串
怎么限制脚本执行时间与内存？
goja 自身不提供硬性资源限制，靠 context.Context + 定时中断 + 手动检查。最稳的方式是在 vm.RunScript 前启动 goroutine 监控，超时就调 vm.Interrupt()。
立即学习“go语言免费学习笔记（深入）”；
- 设置 500ms 超时：
done := make(chan struct{}) go func() { time.Sleep(500 * time.Millisecond) close(done) vm.Interrupt("timeout") }() _, err := vm.RunString(script) if errors.Is(err, goja.ErrInterrupted) { // 处理超时 } - 内存没直接钩子，但可在暴露的 Go 函数里加
runtime.ReadMemStats检查，或用debug.SetGCPercent(-1)临时禁用 GC 来观察堆增长 - 别信 “JS 是单线程所以安全”——Go 协程里跑多个
vm实例仍需各自独立监控
实际最难的不是执行，是边界控制：JS 脚本该能访问哪些 Go 数据、哪些函数、是否允许网络调用、错误信息要不要脱敏——这些都得在 vm.Set 阶段就定死，运行时没法动态补救。
