const vm = require('vm'); let localVar = 'initial value'; try { const vmResult = vm.runInThisContext('while(true) { 1 }; localVar = "vm";', { timeout: 1000 }); } catch(e) { console.error('executed code timeout'); }
延迟执行
vm除了即时执行代码之外，也可以先编译然后过一段时间再执行，这就需要提到vm.Script了。其实无论是runInNewContext、runInThisContext还是runInThisContext，背后其实都创建了Script，从之前的报错信息就可以看出来 接下来我们就用vm.Script来重写本文开头的例子
const vm = require('vm'); let a = 1; var script = new vm.Script('var b = 2; a = 3; a + b;'); setTimeout(() => { let result = script.runInNewContext({a}); console.log(result); // 5 console.log(a); // 1 console.log(typeof b); // undefined }, 300);
除了vm.Script，node在9.6版本中新增了vm.Module也可以做到延迟执行，vm.Module主要用来支持ES6 module，而且它的context在创建的时候就已经绑定好了，关于vm.Module目前还需要在命令行使用flag来启用支持
node --experimental-vm-module index.js
vm作为沙箱环境安全吗？
vm相对于eval来说更安全一些，因为它隔离了当前的上下文环境了，但是尽管如此依然可以访问标准的JS API和全局的NodeJS环境，因此vm并不安全，这个在官方文档里就提到了
The vm module is not a security mechanism. Do not use it to run untrusted code
请看下面的例子
const vm = require('vm'); vm.runInNewContext("this.constructor.constructor('return process')().exit()") console.log("The app goes on...") // 永远不会输出
为了避免上面这种情况，可以将上下文简化成只包含基本类型，如下所示
let ctx = Object.create(null); ctx.a = 1; // ctx上不能包含引用类型的属性 vm.runInNewContext("this.constructor.constructor('return process')().exit()", ctx);
针对原生vm存在的这个问题，有人开发了vm2包，可以避免上述问题，但是也不能说vm2就一定是安全的
const {VM} = require('vm2'); new VM().run('this.constructor.constructor("return process")().exit()');
虽然执行上述代码没有问题，但是由于vm2的timeout对于异步代码不起作用，所以下面的代码永远不会执行结束。
const { VM } = require('vm2'); const vm = new VM({ timeout: 1000, sandbox: {}}); vm.run('new Promise(()=>{})');
即使希望通过重新定义Promise的方式来禁用Promise的话，还是一个可以绕过的
const { VM } = require('vm2'); const vm = new VM({ timeout: 1000, sandbox: { Promise: function(){}} }); vm.run('Promise = (async function(){})().constructor;new Promise(()=>{});');