前言

在 JavaScript 中，沙箱（Sandbox）是一个隔离的环境，允许代码在其中运行而不会对外部环境造成影响或暴露敏感信息。创建沙箱的方式有很多种，以下是几种常见的沙箱创建方式：

1. 使用 eval 或 Function 构造器

通过 eval 或 Function 构造器动态执行代码并为其提供特定的作用域。这是一种直接的沙箱创建方式。可以通过将自定义对象作为 this 或者使用 with 语句来限制全局作用域。

示例（使用 Function 构造器）：

function createSandbox(code, globalObject) {
  const sandboxFunction = new Function('global', `
    with(global) {
      ${code}
    }
  `);
  sandboxFunction(globalObject);
}

// 示例
const sandboxGlobal = { foo: 'bar' };
const code = `console.log(foo);`;

createSandbox(code, sandboxGlobal);  // 输出: bar

2. 使用 eval 函数

eval 函数可以在当前作用域中动态执行字符串代码。为了安全性，通常我们通过 eval 控制代码在特定对象的作用域中运行。

示例：

function createSandboxWithEval(code, globalObject) {
  // 通过 eval 在指定的作用域中执行代码
  eval(`(function(global) {
    with(global) {
      ${code}
    }
  })(globalObject)`);
}

const sandboxGlobal = { foo: 'bar' };
const code = `console.log(foo);`;

createSandboxWithEval(code, sandboxGlobal);  // 输出: bar

注意: eval 是一种潜在的安全风险，容易被恶意代码利用，因此需要小心使用。尤其是从不可信的来源执行代码时。

3. 使用 Object.create() 和 with

通过 Object.create() 创建一个新的对象，并将其作为沙箱的作用域，使用 with 语句使得代码在这个对象的上下文中运行。

示例：

function createSandboxWithObjectCreate(code, globalObject) {
  const sandbox = Object.create(globalObject);  // 创建一个新的对象，继承自 globalObject
  with (sandbox) {
    eval(code);  // 使用 eval 执行代码，sandbox 作为作用域
  }
}

// 示例
const sandboxGlobal = { foo: 'bar' };
const code = `console.log(foo);`;

createSandboxWithObjectCreate(code, sandboxGlobal);  // 输出: bar

4. Web Workers

Web Workers 提供了一个运行 JavaScript 脚本的独立线程，它不共享主线程的作用域。可以将代码在独立的线程中运行，从而提供良好的隔离性。Web Workers 适用于运行需要计算的独立任务，或者想要避免影响主线程的代码。

示例：

const workerCode = `
  onmessage = function(e) {
    postMessage("Hello, " + e.data);
  }
`;

const blob = new Blob([workerCode], { type: 'application/javascript' });
const worker = new Worker(URL.createObjectURL(blob));

worker.onmessage = function(e) {
  console.log(e.data);  // 输出: Hello, world!
};

worker.postMessage('world');

优点：

Web Worker 提供了完全的隔离，因为它运行在不同的线程中，主线程与 Web Worker 不共享内存。

缺点：

通过 Web Workers 运行的代码不能直接访问主线程的 DOM、Window 对象等资源，且只能通过消息传递（postMessage 和 onmessage）与主线程进行通信。

5. 使用 Iframe (内嵌框架)

将代码放入一个 <iframe> 标签中执行，iframe 会创建一个独立的执行环境，且有自己的全局作用域。iframe 和外部页面之间默认是隔离的，可以通过控制其 sandbox 属性来限制它的权限。

<iframe id="sandbox" sandbox="allow-scripts" src="about:blank"></iframe>
<script>
  const iframe = document.getElementById('sandbox');
  const iframeWindow = iframe.contentWindow;
  
  const script = iframeWindow.document.createElement('script');
  script.textContent = `console.log('Hello from iframe');`;
  iframeWindow.document.body.appendChild(script);
</script>

优点：

iframe 提供了一个相对独立的环境，不会直接影响外部页面的全局作用域。
可以通过 sandbox 属性限制 iframe 的权限（如禁止表单提交、禁止脚本执行等）。

缺点：

隔离程度不如 Web Workers，且会有一定的性能开销。
与外部环境的通信较为复杂。

6. 使用 Proxy

通过 JavaScript 的 Proxy，可以拦截对象的操作，来实现对全局环境的隔离。你可以控制沙箱中的属性访问，抛出异常或返回特定的值。

示例：

function createSandboxWithProxy(code, globalObject) {
  const handler = {
    get(target, prop) {
      if (prop === 'window') {
        throw new Error('Access to window is not allowed');
      }
      return prop in target ? target[prop] : undefined;
    }
  };
  
  const sandbox = new Proxy(globalObject, handler);

  // 执行代码
  (function() {
    with(sandbox) {
      eval(code);
    }
  })();
}

// 示例
const sandboxGlobal = { foo: 'bar' };
const code = `console.log(foo); console.log(window);`;  // window 访问将抛出错误

try {
  createSandboxWithProxy(code, sandboxGlobal);
} catch (e) {
  console.error(e.message);  // 输出: Access to window is not allowed
}

7. VM 模块 (Node.js 环境)

如果是在 Node.js 环境中，可以使用 vm 模块来创建沙箱。vm 模块提供了对 JavaScript 代码的执行和控制，使得代码在特定的上下文中执行，类似于浏览器中的沙箱。

示例（Node.js）：

const vm = require('vm');

function createNodeSandbox(code, globalObject) {
  const sandbox = vm.createContext(globalObject);  // 创建上下文
  vm.runInContext(code, sandbox);  // 在这个上下文中执行代码
}

const sandboxGlobal = { foo: 'bar' };
const code = `console.log(foo);`;

createNodeSandbox(code, sandboxGlobal);  // 输出: bar

优点：

Node.js 中的 vm 模块可以非常细粒度地控制沙箱的行为，可以限制特定的 API 调用或使用自定义对象作为全局作用域。

缺点：

这种方法仅适用于 Node.js 环境。

总结

1. 使用 eval / Function 构造器：快速、简单，但不够安全。
2. Web Workers：最强隔离，适合独立计算任务，但与主线程通信较为复杂。
3. iframe：提供页面级的隔离，适用于 Web 环境，具有一定的性能开销。
4. Proxy：可以拦截和控制访问，实现灵活的沙箱控制。
5. vm 模块 (Node.js) ：适用于 Node.js，允许创建沙箱并精细控制上下文。

不同的方式适用于不同的场景，选择哪一种取决于你的应用需求和所需的安全级别。