JS `Deno` `Permission Model` `Granularity` 与 `Security Policy`

各位观众老爷，大家好！今天咱们来聊聊 Deno 的权限模型、粒度以及安全策略，保证让大家听得懂，记得住，还能用得上。准备好了吗？Let’s roll!

Deno 的权限模型：我的地盘我做主！

Deno 从一开始就被设计成安全的，默认情况下，它就像一个被锁在保险箱里的程序，啥也干不了。除非你明确允许它访问某些资源，否则它只能乖乖地执行你赋予的计算任务。这种“默认拒绝”的策略是 Deno 安全性的基石。

想象一下，你新下载了一个 Deno 程序，运行它，如果它未经你的允许就想读取你的文件、访问你的网络、或者执行一些 shell 命令，Deno 会毫不犹豫地拒绝它，并抛出一个权限错误。这样，即使程序本身存在漏洞，也难以对你的系统造成损害。

权限的分类：各司其职，井水不犯河水

Deno 的权限模型涉及多个方面，涵盖了程序可能访问的各种敏感资源。主要包括以下几类：

--allow-read (读取文件系统): 允许程序读取指定的文件或目录。
--allow-write (写入文件系统): 允许程序写入指定的文件或目录。
--allow-net (网络访问): 允许程序发起网络请求，可以限制访问特定的域名或 IP 地址。
--allow-env (环境变量): 允许程序访问环境变量。
--allow-run (运行子进程): 允许程序运行其他的可执行文件。
--allow-hrtime (高精度时间): 允许程序访问高精度时间，这在某些情况下可能被用于侧信道攻击。
--allow-plugin (加载插件): 允许程序加载 Deno 插件 (使用 Rust 开发)。
--allow-ffi (外部函数接口): 允许程序调用外部函数接口 (Foreign Function Interface)。

示例：权限的获取与使用

让我们通过一些例子来演示如何使用这些权限：

1. 读取文件：

# 默认情况下，尝试读取文件会失败
deno run read_file.ts

# 授予读取权限
deno run --allow-read=./data.txt read_file.ts

read_file.ts 的内容：

const decoder = new TextDecoder();
try {
  const data = await Deno.readFile("./data.txt");
  console.log(decoder.decode(data));
} catch (e) {
  console.error("Error reading file:", e);
}

2. 网络访问：

# 默认情况下，尝试发起网络请求会失败
deno run fetch_data.ts

# 授予网络访问权限
deno run --allow-net=example.com fetch_data.ts

fetch_data.ts 的内容：

try {
  const response = await fetch("https://example.com");
  const body = await response.text();
  console.log(body);
} catch (e) {
  console.error("Error fetching data:", e);
}

3. 环境变量访问：

# 默认情况下，尝试访问环境变量会失败
deno run env_access.ts

# 授予环境变量访问权限
deno run --allow-env=HOME env_access.ts

env_access.ts 的内容：

try {
  const homeDir = Deno.env.get("HOME");
  console.log("Home directory:", homeDir);
} catch (e) {
  console.error("Error accessing environment variable:", e);
}

权限的粒度：精细控制，灵活应对

Deno 的权限模型不仅提供了权限的开关，还允许你进行更细粒度的控制。这意味着你可以精确地指定程序可以访问哪些文件、哪些域名、哪些环境变量，从而最大限度地降低安全风险。

例如，你可以使用 --allow-read=/path/to/file 来只允许程序读取特定的文件，而不是整个文件系统。同样，你可以使用 --allow-net=example.com 来只允许程序访问 example.com 域名，而不是允许它访问任何网络地址。

这种细粒度的控制使得你可以在保证程序正常运行的前提下，最大限度地限制其潜在的恶意行为。

示例：更细粒度的权限控制

# 只允许读取特定的文件
deno run --allow-read=./config.json read_config.ts

# 只允许访问特定的域名
deno run --allow-net=api.example.com fetch_api.ts

安全策略：权限管理的终极武器

Deno 引入了安全策略的概念，允许你将权限配置保存在一个 JSON 文件中，并在运行程序时应用这些策略。这使得权限管理更加方便、可维护，并且可以轻松地应用于不同的环境。

安全策略文件（例如 permissions.json）的格式如下：

{
  "permissions": {
    "read": [
      "./data/",
      "./config.json"
    ],
    "write": [
      "./output/"
    ],
    "net": [
      "example.com",
      "api.example.com:443"
    ],
    "env": [
      "HOME",
      "PATH"
    ],
    "run": []
  }
}

然后，你可以使用 --config 标志来应用这个安全策略：

deno run --config permissions.json my_program.ts

安全策略的优势：

集中管理： 将权限配置集中在一个文件中，方便管理和维护。
可复用性： 可以在不同的环境中重复使用同一个安全策略。
版本控制： 可以将安全策略文件纳入版本控制系统，方便追踪权限变更。
自动化： 可以通过脚本自动生成和应用安全策略。

代码示例：使用安全策略

假设我们有一个程序 my_program.ts，它需要读取 ./data/ 目录下的文件，写入 ./output/ 目录，并访问 example.com 域名。

my_program.ts 的内容：

// 读取文件
try {
  const data = await Deno.readFile("./data/sample.txt");
  console.log(new TextDecoder().decode(data));
} catch (e) {
  console.error("Error reading file:", e);
}

// 写入文件
try {
  await Deno.writeFile("./output/result.txt", new TextEncoder().encode("Hello, Deno!"));
  console.log("File written successfully.");
} catch (e) {
  console.error("Error writing file:", e);
}

// 发起网络请求
try {
  const response = await fetch("https://example.com");
  const body = await response.text();
  console.log(body.substring(0, 100)); // 打印前100个字符
} catch (e) {
  console.error("Error fetching data:", e);
}

我们可以创建一个 permissions.json 文件，内容如下：

{
  "permissions": {
    "read": [
      "./data/"
    ],
    "write": [
      "./output/"
    ],
    "net": [
      "example.com"
    ]
  }
}

然后，运行程序：

deno run --config permissions.json my_program.ts

安全策略的进阶应用：

使用通配符： 在 read 和 write 权限中，可以使用通配符 * 来匹配多个文件或目录。例如，--allow-read=/path/to/*.txt 允许读取 /path/to/ 目录下所有以 .txt 结尾的文件。
限制网络端口： 可以在 net 权限中指定端口号，例如 --allow-net=example.com:8080 只允许访问 example.com 的 8080 端口。
使用环境变量进行动态配置： 可以在安全策略文件中使用环境变量，以便根据不同的环境动态配置权限。例如，可以将域名存储在环境变量中，然后在安全策略文件中引用它。

注意事项：

最小权限原则： 在配置权限时，始终遵循最小权限原则，只授予程序所需的最小权限。
谨慎使用 --allow-all： 尽量避免使用 --allow-all 选项，因为它会授予程序所有权限，从而大大增加安全风险。
定期审查权限配置： 定期审查程序的权限配置，确保其仍然符合安全要求。
了解 Deno 的安全更新： 关注 Deno 的安全更新，及时修复潜在的安全漏洞。

权限模型与粒度的对比：

为了更清晰地理解 Deno 的权限模型和粒度，我们用一个表格来总结一下：

特性	权限模型	权限粒度
定义	规定了程序可以访问哪些资源以及如何访问。	指的是权限控制的精细程度，即可以对哪些资源进行细粒度的权限控制。
范围	涵盖文件系统、网络、环境变量、子进程等。	可以控制到特定的文件、目录、域名、端口、环境变量等。
控制方式	通过命令行标志和安全策略文件进行配置。	通过在命令行标志或安全策略文件中指定具体的资源路径、域名等来实现。
优势	提供了强大的安全保障，防止恶意代码的执行。	可以根据实际需求，精确控制程序的权限，避免过度授权，降低安全风险。
示例	`--allow-read`、`--allow-net`、`--allow-env` 等。	`--allow-read=/path/to/file`、`--allow-net=example.com`、`--allow-env=HOME` 等。

Deno 安全性的未来：

Deno 的安全性一直在不断改进和完善。未来的 Deno 可能会引入更高级的安全特性，例如：

Capability-based security： 基于能力的安全模型，允许程序只拥有完成特定任务所需的能力，而不是直接访问底层资源。
沙箱技术： 使用沙箱技术将程序隔离在一个受限的环境中，即使程序被攻破，也无法对宿主机造成损害。
形式化验证： 使用形式化验证技术对 Deno 的核心代码进行验证，确保其符合安全规范。

总结：

Deno 的权限模型、粒度以及安全策略是其安全性的核心组成部分。通过合理地配置权限，你可以有效地保护你的系统免受恶意代码的侵害。记住，安全无小事，时刻保持警惕，才能构建一个安全可靠的 Deno 应用。

希望今天的讲座对大家有所帮助。感谢各位的收看！下次再见！

发表回复 取消回复

发表回复取消回复