C#执行JavaScript时怎么设置超时防止死循环和资源耗尽

在.NET服务端或桌面应用中执行动态JavaScript脚本时，若脚本来自不受信任的外部输入或用户自定义逻辑，极易遭遇类似于 while(true){} 的死循环或者大内存分配导致的内存溢出。要防止工作线程被死锁或服务器资源耗尽，不能单纯依赖外部 Task.WhenAny 丢弃任务，而必须从脚本引擎层面注入强制中断机制并限定最大内存配额。目前在C#生态中，最常用的两个执行引擎分别是原生包装 Google V8 的 ClearScript.V8 与纯托管实现的 Jint，本文将具体针对这两种引擎讲解超时中断、资源配额及隔离防护的具体实现方式。

一、为什么 Task.WhenAny 无法真正解决死循环

很多初学者在C#中尝试通过如下方式实现脚本执行超时控制：

// 常见的错误超时写法：仅丢弃等待，未终止后台死循环
var task = Task.Run(() => engine.Execute(untrustedJs));
if (await Task.WhenAny(task, Task.Delay(1000)) != task)
{
    // 这里虽然提前返回了超时错误，但底层的线程依然在全速运行 while(true)
    throw new TimeoutException("执行超时");
}

在.NET的线程模型中，线程一旦陷入单线程密集运算的同步循环中，外部无法通过常规方式强制停止它（Thread.Abort() 在现代 .NET 6+ 中已被彻底弃用并会抛出平台不支持异常）。如果后台脚本一直在运行死循环，被分配的线程池线程将永久卡死。当请求增多时，线程池迅速枯竭，整个ASP.NET Core应用将无法再接收新的网络请求，造成拒绝服务。

因此，真正有效的超时必须是由执行引擎在底层字节码调度或AST语法树遍历中主动提供“检查点”或“异步终止信号”，强行打断死循环。

二、方案A：在 ClearScript (Google V8) 中设置超时与资源限制

ClearScript封装了原生的 Google V8 引擎，执行性能极高，适合高频、计算量大或需要完整现代ECMAScript特性的场景。针对死循环与资源耗尽，ClearScript提供了 V8 隔离区限制与 Interrupt() 异步打断机制。

1. 配置 V8IsolateConstraints 限制物理内存

为防止恶意脚本通过不断创建巨大数组或拼接巨型字符串占满服务器物理内存，在实例化 V8ScriptEngine 之前，应在隔离区（Isolate）上设置堆内存上限：

using Microsoft.ClearScript.V8;

// 创建V8隔离区约束，限定脚本最大堆内存大小为 64 MB
var constraints = new V8RuntimeConstraints
{
    MaxYoungGenerationSizeInBytes = 16 * 1024 * 1024,
    MaxOldGenerationSizeInBytes = 64 * 1024 * 1024
};

// 开启隔离区并应用配额
using var v8Runtime = new V8Runtime(constraints);
using var engine = v8Runtime.CreateScriptEngine();

2. 使用异步定时器调用 Interrupt() 实现硬超时

ClearScript 的 V8ScriptEngine.Interrupt() 方法可以跨线程调用，它会直接命令底层的V8虚拟机在下一个可中断指令处抛出 ScriptInterruptedException 终止执行：

using System;
using System.Threading;
using System.Threading.Tasks;
using Microsoft.ClearScript;
using Microsoft.ClearScript.V8;

public static class V8ExecutionService
{
    public static object ExecuteWithTimeout(string script, TimeSpan timeout)
    {
        using var engine = new V8ScriptEngine();
        using var cts = new CancellationTokenSource(timeout);

        // 当超时发生时，跨线程向V8注入中断信号
        using var registration = cts.Token.Register(() =>
        {
            try
            {
                engine.Interrupt();
            }
            catch (ObjectDisposedException) { }
        });

        try
        {
            return engine.Evaluate(script);
        }
        catch (ScriptInterruptedException ex)
        {
            // 捕获超时引发的中断
            throw new TimeoutException($"JavaScript 执行超出限定时长 {timeout.TotalMilliseconds}ms", ex);
        }
    }
}

三、方案B：在 Jint 中设置原生超时与约束

Jint 是一个完全基于 C# 编写的 ECMAScript 解释器，无需任何平台 native dll，跨平台分发极其轻巧。因为是纯托管实现，Jint 在引擎 Options 构建器中原生提供了极其丰富的安全沙箱约束。

1. 配置原生约束与超时选项

在 Jint 中，你可以通过一行链式调用同时设置单次执行时间、最大语句执行步数、调用栈深度以及托管内存分配限制：

using System;
using Jint;
using Jint.Runtime;

public static class JintExecutionService
{
    public static object RunScriptSafely(string scriptCode)
    {
        var engine = new Engine(options =>
        {
            // 1. 设置执行超时上限为 1.5 秒
            options.TimeoutInterval(TimeSpan.FromSeconds(1.5));

            // 2. 限制最大执行的 AST 语句数量（防止高密度的无延时死循环）
            options.MaxStatements(100_000);

            // 3. 限制函数递归深度（防止无穷递归爆栈 StackOverflow）
            options.LimitRecursion(256);

            // 4. 限制引擎内部内存分配上限为 32MB
            options.LimitMemory(32 * 1024 * 1024);
        });

        try
        {
            return engine.Evaluate(scriptCode).ToObject();
        }
        catch (TimeoutException ex)
        {
            // 捕获超时异常
            Console.WriteLine($"脚本超时: {ex.Message}");
            throw;
        }
        catch (StatementsCountOverflowException ex)
        {
            // 捕获语句计数超限
            Console.WriteLine($"脚本步数超限: {ex.Message}");
            throw;
        }
        catch (MemoryLimitExceededException ex)
        {
            // 捕获内存超配
            Console.WriteLine($"脚本内存占用过大: {ex.Message}");
            throw;
        }
    }
}

四、多层防御：防止死循环与资源耗尽的落地步骤

要构建一个高可靠的脚本执行沙箱，单靠一个参数往往不够。推荐按照以下四步建立完整的防御纵深：

1. 第一步：源码前置静态校验：限制传入脚本长度（例如不超过 64KB）。禁止脚本直接访问或构建 System、IO、Process 等宿主命名空间，关闭一切不需要的宿主类型导出。
2. 第二步：配置引擎内嵌硬件配额：配置最大堆内存和递归深度。防止恶意构造深度嵌套的括号或递归函数直接导致宿主堆栈溢出。
3. 第三步：配置多维度超时拦截器：结合 CancellationTokenSource，设置物理时钟超时（如 2 秒）与指令步数上限（如 100,000 步）。
4. 第四步：执行后立即释放与异常隔离：由于被中断（Interrupt）过的 JavaScript 引擎其内部状态可能已经损坏，切勿在连接池中复用已经抛出中断异常的引擎实例，必须显式调用 Dispose() 进行完整垃圾销毁。

五、两种主流引擎的技术特性对比与选型建议

六、总结与落地建议

在 C# 服务端执行外部 JavaScript 脚本时，防止死循环与资源耗尽的核心是：将控制权交还给底层引擎的主动中断钩子，而不是在外部进行无谓的异步任务等待。

对于强调极高吞吐与高运算复杂度的业务，优先选择 ClearScript 并结合 V8RuntimeConstraints 与 engine.Interrupt()；对于注重轻量交付、无需维护底层原生库或计算逻辑较简单的业务，推荐采用 Jint 并开启 TimeoutInterval 与 MaxStatements 组合防御。双管齐下，方可彻底避免死循环拖垮整个系统进程。