Bruno安全模式下布尔类型请求体导致沙箱VM崩溃问题解析

在API开发工具Bruno v1.26.0及以下版本中，存在一个值得开发者注意的运行时缺陷：当同时满足以下两个条件时，会导致JavaScript沙箱虚拟机异常崩溃：

1. 启用安全模式（Safe Mode）
2. 请求体（request body）中包含布尔类型字段

问题现象

开发者在使用Bruno发送HTTP请求时，若请求体JSON结构中含有类似"reqLoadName": false的布尔值字段，同时在预请求脚本（pre-request script）中调用bru.getRequestVar()等变量获取方法，控制台会抛出以下致命错误：

Error invoking remote method 'send-http-request': 
Error: TypeError: vm.newBoolean is not a function

技术原理分析

该问题源于Bruno的安全沙箱机制实现细节：

1. 沙箱隔离机制：Bruno的安全模式会创建一个独立的JavaScript执行环境，通过虚拟机（VM）技术隔离主进程与脚本执行环境

2. 类型转换缺陷：在序列化请求体数据到沙箱环境时，对布尔类型的处理存在原型链断裂问题，导致Boolean构造函数无法正确继承

3. 方法调用链断裂：当脚本尝试访问环境变量时，沙箱内部需要重建请求上下文，此时对布尔值的处理方法缺失引发崩溃

影响范围

• 版本影响：v1.26.0及之前所有版本
• 触发条件：
  • 必须启用安全模式
  • 请求体必须包含布尔类型字段
  • 脚本中需调用环境变量相关方法

解决方案

Bruno开发团队已在v1.26.1版本中修复该问题，建议用户立即升级。临时解决方案包括：

1. 降级方案：临时禁用安全模式（不推荐，降低安全性）
2. 规避方案：将布尔值改为字符串形式（如"false"），使用时再转换
3. 代码调整：避免在含布尔值请求体的场景下调用getRequestVar

最佳实践建议

1. 始终使用最新稳定版Bruno
2. 复杂请求体建议先进行JSON Schema验证
3. 在预请求脚本中添加类型检查逻辑
4. 对于关键业务场景，建议实现请求体备份机制

该问题的修复体现了Bruno团队对运行时安全性的持续改进，建议开发者关注此类工具在类型安全方面的实现机制，以编写更健壮的API测试脚本。