【Node.js】VM模块深度解析一：从CommonJS基础到沙箱隔离的原理与实践

1
const vm = require('vm')
2
const fs = require('fs')
3
const path = require('path')
4

5
// 模板缓存：键是模板路径，值是编译后的渲染函数
6
const templateCache = new Map()
7

8
/**
9
 * 编译模板文件为渲染函数
10
 * @param {string} templatePath - 模板文件路径
11
 * @returns {function(data): string} 渲染函数
12
 */
13
function compileTemplate(templatePath) {
14
  // 1. 缓存命中，直接返回
15
  if (templateCache.has(templatePath)) {
16
    return templateCache.get(templatePath)
17
  }
18

19
  // 2. 读取模板内容
20
  const templateContent = fs.readFileSync(templatePath, 'utf8')
21

22
  // 3. 转换模板为JS代码：将<%= ... %>替换为output.push(...)
23
  const jsCode = templateContent
24
    .replace(/<%=(.*?)%>/g, (_, expr) => `output.push(${expr.trim()});`)
25
    .replace(/<%(.*?)%>/g, (_, stmt) => `${stmt.trim()};`)
26

27
  // 4. 包裹成渲染函数：用with语句注入数据上下文
28
  const renderCode = `
29
    (function (data) {
30
      const output = [];
31
      with (data) {
32
        ${jsCode}
33
      }
34
      return output.join('');
35
    })
36
  `
37

38
  // 5. 用vm.Script编译代码
39
  const script = new vm.Script(renderCode, {
40
    filename: templatePath, // 文件名（用于错误堆栈）
41
    lineOffset: 0, // 行号偏移（保持与模板文件一致）
42
  })
43

44
  // 6. 执行脚本，生成渲染函数
45
  const renderFn = script.runInThisContext()
46

47
  // 7. 缓存渲染函数
48
  templateCache.set(templatePath, renderFn)
49

50
  return renderFn
51
}
52

53
// 使用示例
54
const renderUser = compileTemplate(
55
  path.join(__dirname, 'templates', 'user.html')
56
)
57
const userData = {
58
  name: 'Alice',
59
  age: 30,
60
  friends: ['Bob', 'Charlie'],
61
}
62
console.log(renderUser(userData))

1
const vm = require('vm')
2
const express = require('express')
3
const app = express()
4
app.use(express.json())
5
const fetch = require('node-fetch')
6
const { db } = require('./mock-db') // 模拟数据库（只读）
7

8
// 全局风控配置（不可被沙箱修改）
9
const GLOBAL_RISK_CONFIG = {
10
  maxOrderAmount: 10000, // 单订单最大金额（元）
11
  blacklistApi: 'https://api.risk.com/v1/blacklist', // 黑名单API
12
  timeout: 8000, // 规则执行超时时间（毫秒）
13
}
14

15
// 缓存编译后的规则脚本（避免重复编译）
16
const scriptCache = new Map()
17

18
// 风控规则执行接口
19
app.post('/api/risk/evaluate', async (req, res) => {
20
  const { ruleScript, userId, orderAmount, shippingAddress } = req.body
21

22
  try {
23
    // 1. 校验输入参数
24
    if (!ruleScript || !userId || !orderAmount || !shippingAddress) {
25
      return res.status(400).json({ error: '缺少必要参数' })
26
    }
27

28
    // 2. 深拷贝全局配置（防止沙箱修改真实配置）
29
    const sandboxConfig = JSON.parse(JSON.stringify(GLOBAL_RISK_CONFIG))
30

31
    // 3. 构建沙箱上下文：仅暴露安全的API和数据
32
    const sandbox = {
33
      console: console, // 允许打印日志（用于调试）
34
      fetch: fetch, // 允许网络请求（仅限风控API）
35
      db: db, // 模拟数据库（只读，防止修改真实数据）
36
      config: sandboxConfig, // 沙箱内的配置（深拷贝）
37
      userId: userId, // 注入当前请求的用户ID
38
      orderAmount: orderAmount, // 注入订单金额
39
      shippingAddress: shippingAddress, // 注入收货地址
40
    }
41

42
    // 4. 附魔沙箱：开启afterEvaluate模式，确保微任务立即执行
43
    const context = vm.createContext(sandbox, {
44
      microtaskMode: 'afterEvaluate', // 微任务执行完后返回结果
45
      name: `RiskRuleContext_${userId}`, // 上下文名称（用于调试）
46
      origin: 'https://risk.engine.com', // 模拟沙箱的"源"（用于安全策略）
47
    })
48

49
    // 5. 编译/缓存规则脚本（提升性能）
50
    const cachedScript = getOrCompileScript(ruleScript)
51

52
    // 6. 执行脚本：带超时控制（防止恶意循环）
53
    const result = await Promise.race([
54
      cachedScript.runInContext(context), // 执行沙箱内的规则
55
      new Promise((_, reject) =>
56
        setTimeout(
57
          () => reject(new Error('规则执行超时')),
58
          GLOBAL_RISK_CONFIG.timeout
59
        )
60
      ),
61
    ])
62

63
    // 7. 返回结果
64
    res.json({ success: true, data: result })
65
  } catch (err) {
66
    res.status(400).json({ success: false, error: err.message })
67
  }
68
})
69

70
// 编译规则脚本并缓存
71
function getOrCompileScript(ruleCode) {
72
  if (scriptCache.has(ruleCode)) {
73
    return scriptCache.get(ruleCode)
74
  }
75

76
  // 将规则脚本包裹成异步函数（支持await）
77
  const wrappedCode = `(async () => { ${ruleCode} })()`
78

79
  // 编译脚本（设置文件名方便调试）
80
  const script = new vm.Script(wrappedCode, {
81
    filename: 'risk-rule.js', // 脚本名称（错误堆栈中显示）
82
    lineOffset: 0, // 行号偏移（保持与原脚本一致）
83
    displayErrors: true, // 编译错误时显示详细信息
84
  })
85

86
  scriptCache.set(ruleCode, script)
87
  return script
88
}
89

90
// 启动服务
91
app.listen(3000, () => {
92
  console.log('风控规则引擎启动：http://localhost:3000')
93
})