CSP 下 JavaScript 沙箱的四层隔离实践

Murraylr 发布工程实践文章，介绍 String Utility Belt 为自定义 JavaScript 步骤构建的四层沙箱：用 srcdoc iframe 配合 sandbox="allow-scripts" 获得 opaque origin，内部 CSP 从 default-src 'none' 起步，代码在 Web Worker 中运行并受时间限制。 作者称，该沙箱让代码“无处可发送任何内容”，且未经用户许可不会运行陌生代码；但作者也提到，CSP 严格到启用当天就曾使沙箱失效。代码以 MIT 许可发布在 GitHub 上。 报道未说明该沙箱是否已通过独立安全验证，上述隔离效果均为作者自述。

AI 根据报道生成 · 51 分钟前更新

还没有足够的连续观测数据，暂不绘制趋势。