nodeIntegrationを無効にする＆sandbox=trueにする

[MT224244]

内容

現状、Electronの nodeIntegration が有効になっていますが、これはセキュリティ的に大変よろしくないので、無効にするべきです。
また、 #1002 で少し触れられている sandbox も有効にするべきだと思います。

Pros 良くなる点

セキュリティの強度が上がる

Cons 悪くなる点

renderer側のコードでNodeJSの機能が使用できなくなる

実現方法

renderer側のコードでNodeJSの機能が使われている箇所を、使用しないコードに置き換える。
sandbox も有効にする場合は、preloadでも使わないようにする。

その他

試しに nodeIntegration を無効にしてみたところ、特に問題なく動いていそうでした。
というより、fsモジュールは有効だろうが無効だろうが使えなかったので、もしかしたら既に勝手に無効になっているのかもしれません…。

EditorHome.vue 等でpathモジュールが使われていたりしますが、これはpolyfill的なのが差し込まれていそうです。
webpackの依存関係にある node-libs-browser の中身を見てみると、fsはnullでpathには path-browserify が使われているようです。
これは #1000 を実行する場合に少し問題になりそうです。

sandbox を有効にすると流石に module not found エラーがでました。

[Hiroshiba]

issue作成ありがとうございます！
なるほどです、いつの間にか依存を取り除けてたんですね！！

依存を取り除けてるっぽいのであれば話は簡単で、nodeIntegration無効にとても賛成です。

sandbox を有効にすると流石に module not found エラーがでました。

確認なのですが、こちらはsandbox=true時にfsやpathをimportするとエラーが出る、という認識で合っていそうでしょうか。

[MT224244]

sandbox=true時にfsやpathをimportするとエラーが出る

そうです！
sandboxを有効にするとpreloadスクリプト内で一部を除いたNodeJSの機能が使えなくなるので、現在importされているfsとpathがエラーになります。

もう読んだことがあるとは思いますが、詳細はsandboxのドキュメントをご覧ください。

[Hiroshiba]

なるほどです！preload.ts見てみた感じ、fsとpathはまあまあ使われてますが、全部メイン側に移行しても良さそうだなと感じました！

[Hiroshiba]

• feat: electron@20 #1002

がマージされました･･･！

[MT224244]

あ、sandboxがまだoffなのでこれは開いたままの方がいいかも…？

[Hiroshiba]

タイトル変えてReopenしますか！