Mô hình process Electron của Wakii

Mỗi ứng dụng Electron là ít nhất ba process chạy song song: một process main giữ quyền với hệ điều hành, một process renderer vẽ giao diện, và một script preload đứng giữa hai bên. Rất nhiều câu chuyện bảo mật Electron bắt đầu từ cùng một sai lầm: renderer được trao quá nhiều quyền. Wakii chọn chiều ngược lại — renderer chạy trong sandbox mà không có Node.js, quyền hạn gom về process main, và lối đi giữa hai bên là một hợp đồng kiểu hoá, đọc được bằng mắt. Bài này đi qua từng ranh giới bằng chính code trong repo công khai wakii-dev/wakii; đường dẫn nào trong bài cũng trỏ tới file có thật trên repo đó, bạn có thể mở ra đối chiếu từng dòng.

TL;DR:

Process main giữ toàn bộ quyền — file, shell, keychain, process con; renderer chỉ là một trang web chạy sandbox.
Cửa sổ chính được sinh ra với sandbox: true; các cửa sổ guest (nội dung web nhúng) khai tường minh đủ bộ contextIsolation, nodeIntegration, sandbox.
Renderer không import electron — nó gọi window.api, object mà preload expose qua contextBridge, gồm 79 bridge chia theo domain.
Hai đầu dây IPC dùng chung một bộ kiểu TypeScript ở src/shared, và phía preload bị ép khớp bằng satisfies PreloadApi.

Ba process, ba quyền hạn

Process main là chương trình Node.js thật: nó đọc ghi file, spawn process con, nói chuyện với keychain, mở socket, dựng cửa sổ. Renderer là Chromium — về mặt quyền hạn, nó không khác một tab trình duyệt bị khoá trong sandbox: những gì nó chạm được vào hệ thống gần như bằng không. Preload thì đặc biệt: nó là một script chạy trong process renderer, trước trang web, với đúng một quyền hạn hẹp — được gọi vài API của Electron đủ để “phiên dịch”, nhưng vẫn không có Node.js.

Hướng di chuyển của lời gọi là một chiều có kiểm soát. Code UI không tự mở file; nó gọi một hàm trên window.api, preload chuyển thành tin nhắn IPC, process main nhận, quyết định rồi trả kết quả về qua một Promise.

        ┌───────────────────────────────────────────────┐
        │                PROCESS MAIN                   │
        │  Node.js đầy đủ quyền: file · shell ·         │
        │  keychain · spawn process con · network       │
        │  ipcMain.handle("domain:action", ...)         │
        └───────────────────▲───────────────────────────┘
                            │  IPC (invoke / reply)
┌───────────────────────────┴───────────────────────────┐
│                PROCESS RENDERER                       │
│  Chromium sandbox — không có Node.js                  │
│                                                       │
│   code UI ──gọi──▶ window.api ──▶ preload (phiên dịch)│
│              window.api = contextBridge               │
└───────────────────────────────────────────────────────┘

Sơ đồ khái quát theo src/main/index.ts (process main) và src/preload/index.ts (expose window.api) — repo wakii-dev/wakii, lấy 2026-09-08.

Điểm quan trọng nhất của sơ đồ nằm ở hướng mũi tên: từ renderer không có đường nào chạm tới tài nguyên hệ điều hành — file, shell, keychain — mà không đi qua một handler mà process main tự đăng ký. Trang web trong renderer có thể fetch internet như mọi trang web khác, nhưng mở file máy bạn thì phải xin.

Cửa sổ chính: cờ bảo mật nằm ngay chỗ tạo cửa sổ

File src/main/window/createMainWindow.ts là nơi mọi thứ bắt đầu. Phần webPreferences của cửa sổ chính, nguyên văn:

// src/main/window/createMainWindow.ts
webPreferences: {
  preload: join(__dirname, '../preload/index.js'),
  sandbox: true,
  webviewTag: true,
  // Why an argument and not an IPC read: this is the window whose webviews host browser guests,
  // and it has to know that before it interprets its first session snapshot — earlier than any
  // handler registration it could wait on.
  additionalArguments: [formatBrowserClientHostIdArgument(getBrowserClientHostId())]
}