Cloudflare Sandbox SDK：在 Worker 里一键拉起隔离沙箱，跑完代码自动销毁

跑 AI 生成的代码，最怕什么？不是代码写错了，是代码跑在什么地方。

你把一个 LLM 生成的 Python 脚本直接 eval() 进自己的应用里，等于把家门钥匙交给了陌生人。恶意提示词可以注入系统命令，可以删文件，可以翻环境变量。这不是危言耸听，这是每一个做 AI Agent 的开发者迟早要面对的问题。

你需要一个沙箱。一个能跑代码、能读写文件、能执行命令，但跟你的主应用完全隔离的地方。跑完就销毁，不留痕迹。

Cloudflare 的 Sandbox SDK 做的就是这件事。

“在 Worker 里起一个沙箱”

Sandbox SDK 不是一个独立服务，它跑在 Cloudflare Workers 里。你在 Worker 代码里调用 SDK，它会在 Cloudflare 的全球网络上拉起一个隔离的 Linux 容器——完整的文件系统、进程管理、网络栈，什么都有。

代码大概长这样：

import { getSandbox } from '@cloudflare/sandbox';
export default {
  async fetch(request: Request, env: Env) {
    const sandbox = getSandbox(env.Sandbox, 'user-123');
    const result = await sandbox.exec('python --version');
    return Response.json({ output: result.stdout });
  }
};

三行代码，拉起一个沙箱，执行一条命令，返回结果。中间涉及容器编排、网络隔离、资源调度，全被 SDK 包住了。

跑完就销毁：生命周期是设计核心

Sandbox SDK 的设计哲学里，“生命周期”不是边缘问题，是核心问题。

每个沙箱通过一个 ID 来标识和复用。你可以用用户 ID 作为沙箱 ID，同一个用户每次请求都回到同一个沙箱，上下文和文件状态都保留着。空闲时自动休眠，有新请求时自动唤醒。

不想保留？直接不用 ID，每次新建，跑完自动回收。按需启动、按需计费，不留任何残留。

它能干什么？

官方文档列出了四个典型场景：

AI 代码执行：这是最直接的用例。LLM 生成 Python 代码，扔进沙箱跑，结果拿出来。原生集成了 Workers AI 的 GPT-OSS 等模型，可以实现 function calling + 沙箱执行的闭环。

数据分析：沙箱里预装了 pandas、NumPy、Matplotlib。用户上传 CSV，AI 生成分析代码，沙箱执行，返回图表。

交互式开发环境：沙箱可以启动 HTTP 服务并生成预览 URL。云端 IDE、编程 playground、协作开发工具，都能在上面搭。

CI/CD 和构建系统：在隔离环境里跑测试、编译代码、执行构建流水线。

持久化：会话可以跨请求保留

沙箱支持持久化代码解释器——变量和导入的内容在不同执行调用之间保留，像 Jupyter notebook 一样。

文件系统支持实时监听——用 Linux inotify 机制，文件一变化就能触发事件。

还有快照功能——保存容器的完整磁盘状态，恢复只需 2 秒，从头开始启动要 30 秒。

成本结构

SDK 本身免费，沙箱按 Cloudflare Containers 的定价计费。Workers Paid 计划每月 5 美元起步，超出部分按 vCPU 秒和内存秒计费。Active-CPU 定价意味着只付实际使用的 CPU 时间。

成本算得清，没有隐藏账单。

一句话总结

Cloudflare Sandbox SDK 做的事很朴素：在 Worker 里拉起一个隔离的 Linux 环境，跑完代码，自动销毁。但它解决的问题不朴素——AI Agent 要安全地执行代码，这件事本身就不简单。SDK 把容器编排、网络隔离、状态管理、成本控制全包了，留给开发者的只有一个 TypeScript API。

把不安全的代码扔进沙箱，把安全的结果拿回来。跑完就销毁，不欠账。