DotNetIsolator快速开始：10分钟搭建你的第一个WebAssembly沙箱运行环境

DotNetIsolator快速开始10分钟搭建你的第一个WebAssembly沙箱运行环境【免费下载链接】DotNetIsolatorA library for running isolated .NET runtimes inside .NET项目地址: https://gitcode.com/gh_mirrors/do/DotNetIsolator想在自己的 .NET 程序里安全地运行另一段 .NET 代码DotNetIsolator 正是为此而生的开源库——它让你轻松创建基于 WebAssembly 的 .NET 隔离运行环境沙箱。本文将带你 10 分钟上手 DotNetIsolator从安装、写第一个 Demo到调用沙箱内的对象和方法帮你快速搭建属于你的第一个 WebAssembly 沙箱运行环境。什么是 DotNetIsolator为什么你需要 WebAssembly 沙箱DotNetIsolator 的核心能力非常直观让 .NET 代码在隔离环境中运行其他 .NET 代码。它的基本思路是创建任意多个IsolatedRuntime实例每个实例都是一个独立的 WebAssembly 沙箱运行在 Wasmtime 之上每个沙箱拥有完全独立的内存空间无法直接访问宿主机的磁盘、网络和操作系统你可以向沙箱内发起 .NET 调用包括创建对象、调用方法甚至直接执行一段 lambda 代码跨边界传递的参数与返回值会通过 MessagePack 自动序列化。这意味着你可以把不可信或高风险的代码装进沙箱执行即使它出问题也不会影响主程序。比如测试插件、运行用户提交的代码片段、做代码热加载实验都是典型的 WebAssembly 沙箱运行环境使用场景。 提醒DotNetIsolator 目前属于实验性项目官方明确标注为 unsupported安全性不能完全保证。如果作为关键安全边界使用建议作为多层安全体系中的一层。第一步10 分钟准备开发环境开始之前你需要准备✅ .NET 7.0 或更高版本的 SDK本项目示例基于 net7.0✅ 任意代码编辑器Visual Studio / VS Code / Rider 均可✅ 一个能联网安装 NuGet 包的环境环境就绪后打开终端创建一个控制台项目dotnet new console -n MySandboxDemo cd MySandboxDemo第二步安装 DotNetIsolator 包在项目目录下执行下面这条命令安装 DotNetIsolator 的预发布版本dotnet add package DotNetIsolator --prerelease安装完成后项目文件中会自动出现 DotNetIsolator 的引用。为了调试方便建议把Program.cs替换为下面的快速验证代码该示例参考自sample/ConsoleSample/Program.cs。第三步10 行代码跑通第一个 WebAssembly 沙箱下面这段代码展示了最核心的用法在宿主程序中打印当前架构然后在沙箱内再打印一次两者结果完全不同using DotNetIsolator; using System.Runtime.InteropServices; // 设置隔离运行环境宿主 using var host new IsolatedRuntimeHost().WithBinDirectoryAssemblyLoader(); using var runtime new IsolatedRuntime(host); // 宿主侧输出Im running on X64 Console.WriteLine($Im running on {RuntimeInformation.OSArchitecture}); // 沙箱内输出Im running on Wasm runtime.Invoke(() { Console.WriteLine($Im running on {RuntimeInformation.OSArchitecture}); });运行dotnet run你会看到类似这样的输出Im running on X64 Im running on Wasm 恭喜你的第一个 WebAssembly 沙箱运行环境已经成功跑起来了。宿主代码运行在你的真实 CPU 架构上而Invoke里的代码则运行在完全隔离的 Wasm 沙箱中。第四步理解 IsolatedRuntimeHost 与 IsolatedRuntime 的关系很多新手会混淆这两个核心类这里用一个简单的比喻来解释IsolatedRuntimeHost宿主相当于沙箱工厂。它负责启动 Wasmtime 引擎约 400ms只启动一次并配置程序集加载规则。它不持有任何运行时状态可以被多个沙箱共享如果使用依赖注入可以注册为单例IsolatedRuntime运行时相当于一个个沙箱实例。由 Host 创建每个实例独立内存、独立运行实例化仅需约 8ms非常轻量。典型代码模式如下参考test/DotNetIsolator.Test/SharedHost.csusing var host new IsolatedRuntimeHost().WithBinDirectoryAssemblyLoader(); using var runtime1 new IsolatedRuntime(host); using var runtime2 new IsolatedRuntime(host); // 再开一个沙箱互不影响程序集加载的两种最快配置方法沙箱内的 .NET 运行时需要加载程序集才能工作。DotNetIsolator 自带 WebAssembly 专用的基础类库BCL覆盖int、string、Dictionary等基础类型沙箱默认就有权限加载它们。若要运行你自己的代码则需配置加载器最快方法WithBinDirectoryAssemblyLoader()—— 允许从宿主程序的 bin 目录加载 DLL适合大多数场景更严格的方法WithAssemblyLoader(...)—— 自己写加载逻辑精确控制哪些程序集可以进入沙箱可注册多个加载器依次尝试。⚠️ 注意即便沙箱能加载宿主 bin 目录的程序集也不能突破沙箱边界访问宿主机的文件、网络和操作系统。第五步在沙箱内调用对象与方法除了执行 lambda你还可以在沙箱内创建对象并调用它的方法参考test/DotNetIsolator.Test/ObjectCreationTest.cs与MethodInvocationTest.cs// 在沙箱内创建 Person 对象 IsolatedObject person runtime.CreateObjectPerson(); // 调用无返回值方法 person.InvokeVoid(DoSomething, 123); // 调用有返回值的方法需指定泛型参数 TimeSpan age person.Invokebool, TimeSpan(GetAge, true);还可以先拿到方法句柄再延迟调用类似反射里的MethodInfovar getAgeMethod person.FindMethod(GetAge); var age getAgeMethod.Invokebool, TimeSpan(person, true);如果你不想依赖宿主程序集也可以用字符串方式创建对象runtime.CreateObject(MyAssembly, MyNamespace, Person)。沙箱与宿主的双向通信不仅宿主能调用沙箱沙箱内的代码也能反向调用宿主注册的回调参考test/DotNetIsolator.Test/HostCallbackTest.cs// 宿主侧注册回调 runtime.RegisterCallback(addTwoNumbers, (int a, int b) a b);沙箱侧需要引用 DotNetIsolator.Guest 包这样调用var sum DotNetIsolatorHost.Invokeint(addTwoNumbers, 123, 456);宿主与沙箱之间通过 MessagePack 序列化传递数据因此两边拿到的是副本而非同一对象——这正是隔离性的体现。第六步验证性能与正确性想直观感受沙箱的轻量特性可以参考sample/ConsoleSample/Program.cs中的计时示例连续创建 10 个运行时并分别调用总耗时仅几十毫秒平均每次调用不到 5 毫秒。项目自带的单元测试也覆盖了完整的核心能力包括沙箱启动与 BCL 加载test/DotNetIsolator.Test/StartupTest.cslambda 调用与闭包捕获LambdaInvocationTest.cs对象创建与方法调用ObjectCreationTest.cs、MethodInvocationTest.cs宿主回调HostCallbackTest.cs如果想从源码构建可 clone 仓库后直接打开根目录的DotNetIsolator.sln运行测试git clone https://gitcode.com/gh_mirrors/do/DotNetIsolator常见问题速查Q1为什么我在沙箱内修改了静态变量宿主侧没变化答这是正常的。沙箱与宿主内存完全隔离lambda 内对捕获对象或静态字段的修改只作用于沙箱内部这正是隔离设计的一部分。Q2CreateObject为什么要求无参构造函数答当前版本尚未实现构造参数支持只支持参数less构造函数后续版本可能补齐。Q3这个库能用于生产环境吗答它是实验性预发布包未经过安全审查可能有缺陷。若运行不可信代码建议仅作为多层安全体系中的一层若只是隔离自己的代码则绝大多数顾虑不适用。总结下一步可以做什么至此你已经掌握了 DotNetIsolator 的核心用法安装、创建 WebAssembly 沙箱运行环境、调用 lambda、操作隔离对象、实现双向回调。接下来可以尝试 用沙箱执行用户提交的插件代码验证隔离效果⚡ 参考官方文档docs/相关说明深入了解 WASI 配置 阅读源码src/DotNetIsolator/与src/DotNetIsolator.Guest/理解 MessagePack 序列化与 ShadowStack 的实现细节。10 分钟搭建 WebAssembly 沙箱运行环境的目标已经达成剩下的就交给你的想象力啦【免费下载链接】DotNetIsolatorA library for running isolated .NET runtimes inside .NET项目地址: https://gitcode.com/gh_mirrors/do/DotNetIsolator创作声明：本文部分内容由AI辅助生成（AIGC），仅供参考