// 某個"創(chuàng)新"商家的插件代碼
Array.prototype.push = function() {
    console.log("哈哈，我重寫了數(shù)組方法！");
    return "搞破壞了";
};

// 主環(huán)境
console.log(Array); // [Function: Array]

// 創(chuàng)建 iframe（自動生成新 Realm）
const iframe = document.createElement('iframe');
document.body.appendChild(iframe);

// iframe 中的 Array 是全新的構(gòu)造器
const iframeArray = iframe.contentWindow.Array;

console.log(Array === iframeArray); // false！

// 創(chuàng)建隔離環(huán)境
const realm = new ShadowRealm();

// 安全執(zhí)行不可信代碼
const result = realm.evaluate(`
    // 這里無法訪問主環(huán)境的任何變量
    const sensitiveData = "這段數(shù)據(jù)很安全";
    2 + 2
`);

console.log(result); // 4
console.log(typeof sensitiveData); // undefined（完全隔離）

npm install shadowrealm-api

import ShadowRealm from 'shadowrealm-api';

const realm = new ShadowRealm();
const userCodeResult = realm.evaluate(userSuppliedCode);

function createSafeSandbox() {
    const frame = document.createElement('iframe');
    
    // 關(guān)鍵配置：限制權(quán)限
    frame.sandbox = [
        'allow-scripts',     // 允許執(zhí)行腳本
        // 'allow-same-origin' // 謹(jǐn)慎使用：允許同源訪問
    ].join(' ');
    
    frame.style.display = 'none';
    document.body.appendChild(frame);
    
    return {
        evaluate: (code) => frame.contentWindow.eval(code),
        destroy: () => frame.remove()
    };
}

// 使用示例
const sandbox = createSafeSandbox();
try {
    const result = sandbox.evaluate('2 + 2');
    console.log('安全計算結(jié)果:', result);
} finally {
    sandbox.destroy();
}

// 創(chuàng)建隔離的工作線程
const workerCode = `
    self.onmessage = function(e) {
        try {
            const result = eval(e.data.code);
            self.postMessage({ success: true, result });
        } catch (error) {
            self.postMessage({ success: false, error: error.message });
        }
    };
`;

const blob = new Blob([workerCode], { type: 'application/javascript' });
const worker = new Worker(URL.createObjectURL(blob));

worker.onmessage = (e) => {
    if (e.data.success) {
        console.log('Worker 計算結(jié)果:', e.data.result);
    } else {
        console.error('執(zhí)行出錯:', e.data.error);
    }
};

// 執(zhí)行用戶代碼
worker.postMessage({
    code: 'Math.pow(2, 10)' // 用戶提供的代碼
});

// 老系統(tǒng)：直接執(zhí)行插件代碼
function runPlugin(pluginCode) {
    // 危險！插件可以訪問和修改全局狀態(tài)
    return eval(pluginCode);
}

class PluginSandbox {
    constructor() {
        this.iframe = document.createElement('iframe');
        this.iframe.sandbox = 'allow-scripts';
        document.body.appendChild(this.iframe);
    }
    
    runPlugin(pluginCode, api) {
        // 通過 postMessage 提供有限的 API
        this.iframe.contentWindow.postMessage({
            type: 'EXECUTE',
            code: pluginCode,
            api: api
        }, '*');
        
        return new Promise((resolve) => {
            const handler = (event) => {
                if (event.data.type === 'RESULT') {
                    window.removeEventListener('message', handler);
                    resolve(event.data.result);
                }
            };
            window.addEventListener('message', handler);
        });
    }
}

// 安全配置示例
const SAFE_SANDBOX_CONFIG = [
    'allow-scripts',        // 必需：執(zhí)行腳本
    // 'allow-forms',       // 謹(jǐn)慎：表單提交
    // 'allow-popups',      // 謹(jǐn)慎：彈出窗口
    // 'allow-same-origin', // 危險：同源訪問
    // 'allow-top-navigation' // 危險：頂級導(dǎo)航
];

// 永遠(yuǎn)驗證輸入
function validateCode(code) {
    const blacklist = [
        'document.cookie',
        'localStorage',
        'XMLHttpRequest',
        'fetch',
        'window.parent'
    ];
    
    return !blacklist.some(unsafe => code.includes(unsafe));
}