Lua沙盒 - 消除函数创建 Lua是一种可扩展的、轻量级的脚本语言，经常用于游戏开发和嵌入式设备控制。由于它的灵活性，Lua在安全方面需要格外小心。其中一个问题就是函数创建，它可以让攻击者编写任意代码并在应用程序中执行。为了解决这个问题，Lua具有沙盒，即一个受限制的环境，在这个环境中，攻击者无法访问或修改受保护的对象。 沙盒是如何工作的？ 在Lua中，沙盒通过使用元表和__index、__newindex元方法来保护对象。当访问或修改对象时，元方法会被调用，从而允许程序员定义自己的保护规则。例如，可以防止Lua代码通过访问全局变量来执行恶意操作。 消除函数创建 虽然Lua的沙盒提供了一定的保护，但攻击者仍然可以创建新函数并调用它们。这可以通过关闭函数创建功能来解决。在Lua中，可以通过设置debug库中的debug.sethook函数来实现。 此函数允许在程序执行过程中拦截函数的调用。可以使用该功能来检测和阻止尝试创建新函数的行为。 在实现沙盒时，消除函数创建是一个重要的步骤，可以提高应用程序的安全性。

如果你只想评估表达式，你可以尝试这个：

function run(s) return loadstring("return "..s)() end

（省略错误处理）

这个简单的解决方案可以防止大多数“攻击”，但不能完全消除它们，因为一个人可以说

(function () f=function(x) print"hello" end end)()

这定义了一个名为 f 的新函数。

你最好使用沙箱，不用担心用户对环境做了什么，因为它不会是 你的 环境。

你可以尝试通过查找字符串 "function" 来检测函数的创建，然后再允许执行 Lua 脚本。比如说通过在C/C++后端实现。

如果出现 "function" 字符串，则抛出 "您不允许创建函数" 的错误并且不执行代码。

需要注意：

• 你可能想要对检测进行一些自定义 - 只有在检测到函数之后跟着空格和一个左括号时才抛出错误，例如。这可以作为练习留给你自己完成。
• 你应该知道，有一些标准的 Lua 函数可以被用户创建 - 比如说 string 表格就有很多这样的函数。如果不允许创建函数，那么用户就很难处理字符串了（即使现在处理函数也很困难）。