3、进程沙箱（Sandbox）：沙箱的作用、启用沙箱、沙箱对Node.js API的限制

沙箱到底是个什么东西？

说实话，很多刚接触 Electron 的同学，对沙箱的理解就是「一个安全盒子」。嗯，这个理解没错，但不够深。

我个人的习惯是，把沙箱想象成一个「隔离监狱」。你的渲染进程就像个囚犯，它只能在监狱里活动。监狱的墙很厚，它看不到外面，也拿不到外面的东西。就算它想搞破坏，也只能在监狱里砸墙，影响不了外面的主进程。

为什么要这么干？你想想看，渲染进程是跑用户页面的。用户可能打开一个恶意网站，或者你的页面被注入了 XSS 脚本。如果没有沙箱，攻击者就能通过渲染进程直接调用 Node.js API，读写你的文件系统，甚至执行系统命令。这太可怕了。

我在项目中遇到过真实案例。一个同事开发的桌面应用，渲染进程里直接用了 fs.readFileSync 读取本地配置文件。当时我就问他：「如果用户篡改了页面脚本，你的数据库密码不就裸奔了？」他愣住了。嗯，这就是没有沙箱的后果。

沙箱的作用：三句话讲清楚

• 限制系统调用：渲染进程不能直接调用操作系统的底层接口。比如你不能在沙箱里执行 child_process.exec。
• 隔离进程资源：每个渲染进程有自己的内存空间、文件句柄。一个进程崩溃了，不会拖垮整个应用。
• 降低攻击面：就算渲染进程被攻破，攻击者也只能拿到一个「空壳子」，拿不到 Node.js 的完整能力。

如何启用沙箱？

启用沙箱其实很简单。在创建 BrowserWindow 的时候，加一个配置项就行。

// 启用沙箱的渲染进程
const mainWindow = new BrowserWindow({
  width: 800,
  height: 600,
  webPreferences: {
    sandbox: true,  // 就是这一行
    preload: path.join(__dirname, 'preload.js')
  }
})

就这么简单？嗯，就这么简单。但我要提醒你，沙箱一旦启用，很多你习惯用的 Node.js API 就失效了。别急，我下面会详细说。

沙箱对 Node.js API 的限制

这是大家最关心的问题。沙箱到底禁用了哪些东西？我列个表给你看。

API 类别	具体 API	沙箱中的状态
文件系统	fs.readFileSync, fs.writeFile 等	❌ 不可用
子进程	child_process.exec, spawn	❌ 不可用
网络	net, dgram 模块	❌ 不可用
操作系统	os 模块的大部分方法	❌ 不可用
进程	process 对象的部分属性	⚠️ 部分可用
定时器	setTimeout, setInterval	✅ 可用
Buffer	Buffer 类	✅ 可用

为什么会这样？说白了，沙箱把渲染进程的 Node.js 环境「阉割」了。它只保留了最基础的功能，比如定时器、Buffer 这些纯计算的东西。凡是涉及到系统资源、网络、文件的操作，一律封杀。

我曾经遇到一个坑。有个项目在渲染进程里用了 require('electron').remote 来调用主进程的模块。结果沙箱一开，remote 直接报错。嗯，因为沙箱模式下，require 的行为也变了。

那我的业务逻辑怎么办？

你可能会问：「沙箱限制这么多，我的业务代码怎么写？」

答案是：用 preload 脚本做桥梁。

preload 脚本运行在一个特殊的环境里。它既有 Node.js 的完整能力，又能通过 contextBridge 把安全的 API 暴露给渲染进程。看个例子：

// preload.js
const { contextBridge, ipcRenderer } = require('electron')

contextBridge.exposeInMainWorld('myAPI', {
  readConfig: () => ipcRenderer.invoke('read-config'),
  saveData: (data) => ipcRenderer.invoke('save-data', data)
})

// 渲染进程（沙箱中）
// 不能直接用 fs，但可以用暴露的 API
const config = await window.myAPI.readConfig()
console.log(config)

你看，这样既保证了安全，又实现了功能。我个人习惯把所有涉及系统资源的操作都放在主进程，渲染进程只负责 UI 和用户交互。这个模式叫「最小暴露原则」。

避坑指南

• 别在沙箱里用 require 加载原生模块：会直接报错。所有原生模块的调用都要通过 IPC 转发。
• 注意 contextIsolation 的配合：沙箱最好和 contextIsolation: true 一起用。两者是黄金搭档。
• 测试环境也要开沙箱：我曾经见过有人开发时关掉沙箱，上线前才打开。结果一堆功能炸了。嗯，血的教训。
• 性能影响：沙箱会带来微小的性能开销。但说实话，现代硬件上基本感觉不到。别为了那点性能牺牲安全。