编辑
正如另一位用户所问，让我在下面解释我的答案。
preload.js在 Electron 中使用 的正确方法是在您的应用程序可能需要的任何module周围公开列入白名单的包装器require。
在安全方面，暴露require或您通过require调用中检索到的任何内容都是危险的preload.js（有关原因的更多解释，请参阅我在此处的评论）。如果您的应用程序加载远程内容（很多人都这样做），则尤其如此。
为了正确地做事，您需要在您的设备上启用许多选项，BrowserWindow如下所述。设置这些选项会强制您的电子应用程序通过 IPC（进程间通信）进行通信，并将两个环境彼此隔离。像这样设置您的应用程序可以让您验证任何可能是require后端“d module”的内容，而客户端不会对其进行篡改。
下面，您将找到一个简短的示例，说明我所说的内容以及它在您的应用程序中的外观。如果您刚开始，我可能建议您使用secure-electron-template（我是其作者）在构建电子应用程序时从一开始就融入了所有这些安全最佳实践。
此页面还提供有关使用 preload.js 制作安全应用程序所需的架构的详细信息。
主文件
const {
app,
BrowserWindow,
ipcMain
} = require("electron");
const path = require("path");
const fs = require("fs");
// Keep a global reference of the window object, if you don't, the window will
// be closed automatically when the JavaScript object is garbage collected.
let win;
async function createWindow() {
// Create the browser window.
win = new BrowserWindow({
width: 800,
height: 600,
webPreferences: {
nodeIntegration: false, // is default value after Electron v5
contextIsolation: true, // protect against prototype pollution
enableRemoteModule: false, // turn off remote
preload: path.join(__dirname, "preload.js") // use a preload script
}
});
// Load app
win.loadFile(path.join(__dirname, "dist/index.html"));
// rest of code..
}
app.on("ready", createWindow);
ipcMain.on("toMain", (event, args) => {
fs.readFile("path/to/file", (error, data) => {
// Do something with file contents
// Send result back to renderer process
win.webContents.send("fromMain", responseObj);
});
});
预加载.js
const {
contextBridge,
ipcRenderer
} = require("electron");
// Expose protected methods that allow the renderer process to use
// the ipcRenderer without exposing the entire object
contextBridge.exposeInMainWorld(
"api", {
send: (channel, data) => {
// whitelist channels
let validChannels = ["toMain"];
if (validChannels.includes(channel)) {
ipcRenderer.send(channel, data);
}
},
receive: (channel, func) => {
let validChannels = ["fromMain"];
if (validChannels.includes(channel)) {
// Deliberately strip event as it includes `sender`
ipcRenderer.on(channel, (event, ...args) => func(...args));
}
}
}
);
索引.html
<!doctype html>
<html lang="en-US">
<head>
<meta charset="utf-8"/>
<title>Title</title>
</head>
<body>
<script>
window.api.receive("fromMain", (data) => {
console.log(`Received ${data} from main process`);
});
window.api.send("toMain", "some data");
</script>
</body>
</html>
