duktape - “require()”在沙箱中安全吗？

Question

我正在构建一个沙盒 duktape 应用程序。sanboxing 文档 ( https://github.com/svaarala/duktape/blob/master/doc/sandboxing.rst ) 建议删除默认的 require() 实现。我不清楚为什么这是必要的。似乎 require() 依赖于 modSearch() 来确定要加载什么代码以及从哪里加载。如果 modSearch() 不允许从沙箱中不允许的任何地方加载数据，那么默认的 require() 实现是否还有其他不安全或引起警惕的地方？

Answer 1

建议是为了强调默认的 require() 不一定是沙箱安全的（即使当前的实现是），因此最好在对可能不受信任的代码进行沙箱时替换它（至少如果代码可能是主动恶意而不是而不是意外损坏）。

也就是说，我现在不知道任何具体问题。