沙箱 Javascript 代码
我正在用 Javascript 开发一款游戏，我希望能够包含一个模组 API。如何允许开发人员使用我的 API 执行任意代码，同时阻止他们进行恶意活动（窃取 cookie、重定向到恶意网站）？
I am working on a game in Javascript, and I would like to be able to include a modding API. How can I allow a developer to execute arbitrary code using my API while keeping them from doing malicious activities (stealing cookies, redirecting to a malicious site)?
如果你对这篇内容有疑问，欢迎到本站社区发帖提问 参与讨论，获取更多帮助，或者扫码二维码加入 Web 技术交流群。
绑定邮箱获取回复消息
由于您还没有绑定你的真实邮箱，如果其他用户或者作者回复了您的评论，将不能在第一时间通知您！
发布评论
评论（2）
Google 的一个项目旨在让您能够执行类似的操作。
There's a project by Google that aims to allow you to do something like this.
我正在研究类似的事情，我的解决方案是在指向子域（http://bar.foo.com）而不是主站点（http://foo.com）的 iFrame 内运行脚本。 ）。通过 url #fragment#identifiers 向脚本提供输入，并通过指向原始名称的嵌套、不可见 iFrame 的 URL 片段标识符提供输出。
请记住，即使您看不到子框架，您也可以设置它的 URL，并且您始终可以检查框架的特定 URL（如果它位于同一域中）。
I'm working on something like this and my solution was to run the script-ables inside an iFrame that points to a subdomain (http://bar.foo.com) instead of the main site (http://foo.com). Input is provided to the script via url #fragment#identifiers and output is provided through the URL fragment identifier of a nested, invisible iFrame pointing back at the original name.
Remember, you can set a child frame's URL even if you can't see it, and you can always check a frame's specific URL if it's on the same domain.