如何使 Lua 配置文件更加安全

你似乎已经了解了 Lua 中的“沙箱”技术。所以剩下的问题就像你所说的那样，是类似无限循环等恶意构造。要解决这个问题，你需要解决停机问题，但这是不切实际的。

与其“手动”解析并希望找到所有恶意内容（很难），不如将 Lua 解释器运行时设置一个定时器，如果脚本运行时间超过了 N 秒，就将其中断。

如果你想在 Lua 中显式禁止某些结构体,你必须自己扫描文件。请注意,即使在配置文件中,这些结构体也有合法用途,所以你正在限制用户可以做的事情。

编写一个简单的 Lua 词法分析器不会太难,它忽略字符串和注释的内容,但会对除 return 以外的任何 Lua 关键字发出错误信息。在进行适当的沙箱设置(例如:没有可供调用的函数)的情况下,这应该足以筛选出任何恶意代码。

此外,请注意 Lua 5.1 不易使解析器停止解析非文本数据(即:编译过的 Lua 字节码)。而 5.2 提供了特定的 API 支持,以强制加载器仅识别文本,从而拒绝字节码。