Web工作者是沙箱不受信任的JavaScript代码的安全方式

Question

我想知道一个网络工作者是否是沙箱不受信任的JavaScript代码的安全方式。 例如，在开发人员可以实现新绘图工具的绘图应用程序的上下文中，您可以将他们的代码放在webworker中，并且每当用户单击画布时，向他们发送包含光标位置的JSON消息，以及图像数据的数组，并且当脚本完成时，它传递包含新图像数据的消息。

这是安全的，还是存在我没想到的风险？

Answer 1

DOM不可供Web工作者使用，但可以访问同源的东西，例如indexedDB 。 请参阅我的相关问题：

工作人员是否足够安全以获取不受信任的代码

安全的方法是使用iframe的sandbox属性：

http://www.html5rocks.com/en/tutorials/security/sandboxed-iframes/

另请查看我的库，它简化了过程并提供了与沙箱的便捷连接（函数导出而不是消息传递）：

https://github.com/asvd/jailed

Answer 2

问题在于开发人员是否期望DOM访问。 Web Workers不允许处理DOM，除非整个代码仅用于数据。

我建议您从主域中沙箱整个应用程序，类似于JSFiddle在iframe中运行所有内容的方式。 这样，所有潜在危险的代码只能在该框架中工作，而所有其他的东西，如登录，在框架外处理，在主域中处理，远离潜在危险的代码。

最重要的是，只需包含安全代码。 在将代码合并到主应用程序之前查看代码。