WebAssembly 安全吗？沙盒和权限边界怎么保障？
WebAssembly 的安全性来自沙盒、线性内存、类型校验、结构化控制流和宿主权限边界。它比直接跑原生二进制安全得多，但不是“放进 wasm 就万事大吉”：恶意模块仍可能耗尽 CPU、撑爆内存、滥用宿主 API，或者把 C/C++ 旧代码里的逻辑漏洞带进来。正确姿势是把 wasm 当成不完全可信的插件，默认最小权限、限制资源、审计供应链。
追问
Wasm 沙盒到底隔离了什么？
Wasm 默认不能直接访问文件系统、网络、DOM、浏览器存储或操作系统 API，它只能执行指令并操作自己的线性内存。任何系统能力都要由 JavaScript、WASI 或宿主显式传入。取舍是沙盒本身很强，但宿主接口一旦给得太大，模块就能绕着业务边界做事。比如把通用 readFile(path) 或带 token 的 fetch 暴露进去，就等于把权限交给了模块。
const imports = { env: { log: (ptr, len) => safeLog(ptr, len) } }; // 不要暴露任意文件读取、通用网络代理或用户 token
线性内存能彻底防住内存漏洞吗？
不能彻底防住，但能限制破坏范围。Wasm 的线性内存是一段连续 ArrayBuffer，越界访问会触发 trap，不能直接写到浏览器或系统的其他内存。边界是模块内部仍可能被破坏：C/C++ 数组越界可能覆盖同一线性内存里的业务字段，导致解析错误、状态错乱或拒绝服务。Rust 能降低这类风险，但用了 unsafe 仍要审计。
const memory = new WebAssembly.Memory({ initial: 16, maximum: 64 });
类型校验和控制流安全解决什么问题？
Wasm 模块加载前会验证函数签名、栈类型、控制流和表调用，不能像原生代码那样随意跳到任意地址执行。它也没有“把数据当代码执行”的传统模型，所以很多 ROP、任意跳转攻击难以照搬。踩坑是验证只说明模块符合 Wasm 格式，不说明模块逻辑可信。一个合法 wasm 仍可能是挖矿脚本、压缩炸弹解析器或带后门的第三方库。
wasm-objdump -x app.wasm # 上线前检查 import/export，确认没有意外暴露能力
宿主 API 为什么常是最大风险点？
因为 wasm 自己拿不到权限，真正危险的是宿主给它的能力。浏览器里如果给它跨源请求代理、敏感 token 或 DOM 写入口，沙盒就只能保护底层内存，保护不了业务数据。服务端或边缘场景更明显，WASI 挂载了哪些目录、允许哪些环境变量、开放哪些 socket，决定了模块能做什么。建议只给白名单函数、固定资源和必要参数，不给通用能力。
wasmtime run --dir ./sandboxed-data app.wasm # 只挂载必要目录，不要把用户目录或项目根目录直接暴露
项目里如何做安全落地？
第一，固定依赖版本和构建链路，不要只提交来源不明的 .wasm 二进制。第二，限制 CPU、内存、执行时间和并发，把浏览器长任务放进 Web Worker，服务端运行时设置超时和配额。第三，记录初始化失败、trap、内存增长和执行耗时，方便发现异常模块或输入攻击。Wasm 的安全性足够做生产系统，但它依赖最小权限、供应链治理和运行时限制一起兜底。