防范Object.setPrototypeOf篡改原型链绕过沙箱文件读写漏洞

原型污染攻击的核心原理其实非常直接：攻击者一旦掌握了Object.setPrototypeOf这类能力，就能直接修改Object.prototype等基础内置对象。此后，所有继承自该原型的对象——几乎涵盖整个JavaScript对象体系——都会染上恶意方法。沙箱的文件读写控制，即便设计得再周密，在此场景下也将形同虚设。这类攻击常见于 Node.js 的 vm 模块，或在浏览器内嵌入第三方 SDK 的场景，一旦原型被污染，fs.readFile 的返回值可能被伪造，require 的加载逻辑也可能被劫持。

因此，防范的关键在于：切断污染来源、物理隔离运行环境、冻结不可信行为路径。具体如何实现？从三个方面层层加锁。

启动即冻结：从源头掐死篡改路径

沙箱初始化完成、用户脚本尚未执行的那一瞬间，正是冻结的黄金窗口。动作必须迅速：将所有基础原型一并处理——Object.prototype、Function.prototype、Array.prototype，逐一执行Object.freeze。冻结后，新增、修改、删除属性的操作均会失败，__proto__ 和 constructor 同样被纳入保护范围。

若运行在 Node.js 环境，可配合启动参数 --disable-proto=throw。这样一来，任何对 __proto__ 的赋值都会直接抛出异常，比静默失败更加干净彻底。务必警惕：冻结操作的执行时机必须早于所有第三方代码——包括 polyfill 和 SDK 初始化脚本。建议将其直接放在沙箱上下文创建后的第一行，雷打不动。

禁用危险API & 重写关键方法

光靠冻结仍不够，那些可能被滥用的原生能力必须主动封禁。在沙箱上下文中，将 Object.setPrototypeOf 直接替换为无操作函数——调用即抛错。同时，若环境支持，覆盖 Object.__proto__ 的 setter，赋值同样抛错。

有一个容易被忽略的细节：Function.prototype.bind 和 Reflect.setPrototypeOf 也能作为绕过路径。必须一并处理，不留死角。

无原型对象：构建干净的边界

沙箱内部用于通信、配置、权限校验的对象，一律不要使用 {}。改用 Object.create(null) 创建，这类对象没有原型链，天然免疫污染。举个例子：权限白名单表用 const permissions = Object.create(null) 来定义，然后通过 Object.prototype.hasOwnProperty.call(permissions, key) 判定是否放行。这样即使外部原型被污染，判断逻辑也不会受到干扰。

所有插件注册、API 注入、路由映射等中间结构，统一采用此套路。从数据结构的源头切断对原型链的依赖。

进程级隔离与运行时监控

对于高敏感性场景——如云函数、低代码平台——仅靠 JS 层防护还不够。Node.js 中建议优先选用 vm2 而非原生 vm，并启用其 timeout 和 memoryLimit 限制，防止长时间运行绕过检测。

更进一步，对沙箱子进程启用 seccomp-bpf 或容器级的 syscall 过滤，直接禁止 openat、read 这类系统调用。换句话说，即使攻击者真的污染了原型，也因无法触发真实的文件操作而宣告失败。沙箱启动后立即注入检测逻辑，例如 if ({}.toString !== Object.prototype.toString) throw new Error('Prototype polluted');，发现异常立刻终止上下文。

整件事说起来并不复杂，但极易被忽略——真正的防护，不是等攻击发生了再打补丁，而是在沙箱诞生的那一刻，就让它运行在一个“没有原型可被污染”的干净世界里。

防范攻击者利用 Object.setPrototypeOf 恶意篡改内置对象（如 Object.prototype、Function.prototype）来绕过沙箱的文件读写控制，关键在于**切断污染入口、物理隔离执行环境、冻结不可信行为路径**。这类攻击常见于 Node.js 沙箱（如 vm 模块）或浏览器中嵌入第三方 SDK 的场景，一旦原型被污染，后续所有对象都会继承恶意方法（例如伪造 fs.readFile 返回值、劫持 require 加载逻辑），导致沙箱形同虚设。

启动即冻结核心原型链

在沙箱初始化完成、任何用户脚本执行前，立即冻结所有基础原型：

• 执行 Object.freeze(Object.prototype)、Object.freeze(Function.prototype)、Object.freeze(Array.prototype) —— 这能阻止新增/修改/删除属性，包括 __proto__ 和 constructor
• 若运行在 Node.js，配合启动参数 --disable-proto=throw，让任何对 __proto__ 的赋值直接抛错，而非静默失败
• 注意：冻结必须早于任何第三方代码（包括 polyfill、SDK 初始化脚本），建议放在沙箱上下文创建后的第一行

禁用危险 API 并重写关键方法

仅靠冻结不够，还需主动封禁可被滥用的原生能力：

• 在沙箱上下文中，将 Object.setPrototypeOf 替换为无操作函数：Object.setPrototypeOf = () => { throw new Error('setPrototypeOf disabled in sandbox'); };
• 同时覆盖 Object.__proto__ 的 setter（如果环境支持）：Object.defineProperty(Object.prototype, '__proto__', { set: () => { throw new Error('__proto__ assignment blocked'); } });
• 对 Function.prototype.bind、Reflect.setPrototypeOf 等间接入口也做同样处理，避免绕过

使用无原型对象构建沙箱边界

沙箱内部用于通信、配置、权限校验的对象，一律不用 {}，改用更干净的基底：

• 创建权限白名单表：const permissions = Object.create(null); permissions['fs.readFile'] = true;
• 接收用户输入后，用 Object.prototype.hasOwnProperty.call(permissions, key) 判断是否允许调用，避免因原型污染导致误判
• 所有插件注册、API 注入、路由映射等中间结构，均采用 Object.create(null)，从源头消除原型链查找依赖

沙箱进程级隔离与运行时监控

对于高敏感场景（如云函数、低代码平台），需超越 JS 层防护：

• Node.js 中优先选用 vm2 而非原生 vm，并启用其 timeout 和 memoryLimit 限制，防止长时间运行绕过检测
• 对沙箱子进程启用 seccomp-bpf 或容器级 syscall 过滤，禁止 openat、read 等系统调用，即使原型被污染也无法真正触发文件操作
• 沙箱启动后立即注入检测逻辑：if ({}.toString !== Object.prototype.toString) throw new Error('Prototype polluted');，发现异常立刻终止上下文

不复杂但容易忽略——真正的防护不是等攻击发生再打补丁，而是在沙箱诞生那一刻，就让它运行在一个“没有原型可被污染”的干净世界里。