什么是沙箱機(jī)制

大家也許都聽說過：以太坊上的智能合約是在沙箱（Sandbox）中運(yùn)行的。那么到底什么是沙箱呢？

1.為什么需要沙箱機(jī)制？

默認(rèn)情況下，一個(gè)應(yīng)用程序是可以訪問機(jī)器上的所有資源的，比如CPU、內(nèi)存、文件系統(tǒng)、網(wǎng)絡(luò)等等。

但是這是不安全的，如果隨意操作資源，有可能破壞其他應(yīng)用程序正在使用的資源，或者造成數(shù)據(jù)泄漏。為了解決這個(gè)問題，一般有下面兩種解決方案：

（1） 為程序分配一個(gè)限定權(quán)限的賬號(hào)：利用操作系統(tǒng)的權(quán)限管理機(jī)制進(jìn)行限制

（2） 為程序提供一個(gè)受限的運(yùn)行環(huán)境：這就是沙箱機(jī)制

2.什么是沙箱機(jī)制？

如上所述，沙箱就是一個(gè)限制應(yīng)用程序?qū)ο到y(tǒng)資源的訪問的運(yùn)行環(huán)境。

沙箱很多情況下都是實(shí)現(xiàn)在虛擬機(jī)（VM）中，比如Java的虛擬機(jī)JVM、Javascript的虛擬機(jī)V8引擎、Android中的虛擬機(jī)Dalvik/ART，以及以太坊的虛擬機(jī)EVM等等。具體的實(shí)現(xiàn)方式各有不同，本文重點(diǎn)分析一下JVM和EVM的沙箱機(jī)制實(shí)現(xiàn)。

3.JVM的沙箱機(jī)制

JVM的沙箱機(jī)制大致可以分為三層：

第一層：類加載器

采用雙親委派模型，低層類加載器在收到類加載請(qǐng)求時(shí)，需要先委派給高層類加載器區(qū)完成，只有在高層類加載器無(wú)法完成該請(qǐng)求時(shí)，才會(huì)再重新委派給低層類加載器。通過這一機(jī)制，確保了系統(tǒng)的核心類不會(huì)被篡改，惡意代碼無(wú)法訪問關(guān)鍵資源。

第二層：字節(jié)碼校驗(yàn)器

類字節(jié)碼被加載后，需要在字節(jié)碼層面進(jìn)行檢驗(yàn)，具體包括以下內(nèi)容：

（1） 變量要在使用之前進(jìn)行初始化

（2） 方法調(diào)用與對(duì)象引用類型之前要匹配

（3） 訪問私有數(shù)據(jù)和方法的規(guī)則沒有被違背

（4） 對(duì)本地變量的訪問落在運(yùn)行時(shí)堆棧內(nèi)

（5） 運(yùn)行時(shí)堆棧沒有溢出通過這一機(jī)制，可以確保字節(jié)碼符合Java語(yǔ)言規(guī)范，避免訪問無(wú)效訪問或越界訪問。

第三層：安全管理器

這一層是交由應(yīng)用開發(fā)者來維護(hù)的，開發(fā)者可以根據(jù)自身需求，制定對(duì)應(yīng)的安全策略。默認(rèn)的安全策略配置位于以下兩個(gè)配置文件中：

· $JAVA_HOME/conf/security/java.security

· $JAVA_HOME/conf/security/java.policy

默認(rèn)情況下安全管理器是不開啟的，可以在命令行增加一個(gè)參數(shù)來開啟它：

java -Djava.security.manager SandboxTest

默認(rèn)的安全策略配置不允許應(yīng)用程序?qū)ξ募淖x寫操作，所以如果你試圖寫一個(gè)文件，運(yùn)行時(shí)會(huì)報(bào)如下錯(cuò)誤：

如果你希望開放這個(gè)權(quán)限，可以編寫自己的安全策略文件，比如我們寫一個(gè)my.policy：

然后在運(yùn)行時(shí)指定這個(gè)策略配置就可以了：

java -Djava.security.manager -Djava.security.policy=。/my.policy SandboxTest

應(yīng)用開發(fā)者可以針對(duì)不同的應(yīng)用場(chǎng)景進(jìn)行精細(xì)化定制，控制程序?qū)W(wǎng)絡(luò)、文件、屬性等內(nèi)容的訪問權(quán)限。

4.EVM的沙箱機(jī)制

EVM本身是一個(gè)相對(duì)封閉的環(huán)境，不支持對(duì)網(wǎng)絡(luò)和文件系統(tǒng)的直接訪問，從這個(gè)層面來說已經(jīng)起到一部分沙箱的功能了：

另外，在智能合約之間互相調(diào)用時(shí)，EVM會(huì)重新分配堆棧和內(nèi)存空間，在一個(gè)全新的環(huán)境中運(yùn)行新合約，即使出現(xiàn)問題也不會(huì)破壞原有執(zhí)行環(huán)境，從而為智能合約的執(zhí)行提供了一個(gè)沙箱環(huán)境。

最后，每個(gè)智能合約的存儲(chǔ)也是相互獨(dú)立的，開發(fā)者可以根據(jù)需求，限制合約可以訪問的存儲(chǔ)空間，避免未授權(quán)的訪問或修改。舉例來說，下圖就描述了CALL和CALLCODE指令對(duì)存儲(chǔ)空間訪問的區(qū)別：