将高级脚本语言嵌入固件层的想法不再是未来派的幻想。2026 年初，smnx 发布的 promethee 项目成功将 Duktape JavaScript 引擎移植到 UEFI 环境，允许开发者用 JavaScript 编写引导加载程序。这一实验性项目引发了技术社区对固件层脚本化的热烈讨论，也暴露了高特权预操作系统（pre-OS）环境中跨语言绑定的深层安全挑战。
UEFI 层的脚本化动机与 ABI 挑战
UEFI 固件作为现代计算的信任锚点，传统上以 C 语言开发为主，依赖 EFIAPI（在 x86_64 平台表现为 Microsoft x64 调用约定）实现模块间互操作。将 JavaScript 引入这一层并非为了替代底层驱动，而是希望利用脚本语言的灵活性加速原型验证和可视化开发。promethee 的工作原理简洁直接：C 加载器初始化 Duktape 引擎后，从 FAT 启动卷加载 script.js 并执行，该脚本可调用 GraphicsOutput 等 UEFI 协议实现图形绘制或系统配置。
这种跨语言绑定的核心是 ABI（应用程序二进制接口）的桥接。UEFI 规范要求所有运行时服务遵循严格的调用约定，而 JavaScript 引擎需要通过外部函数接口（FFI）将 UEFI 的内存映射服务、句柄协议等封装为脚本可访问的对象。例如，脚本中调用 efi.SystemTable.BootServices.LocateProtocol 时，引擎需将 JS 对象的属性访问转换为对物理地址空间的指针解引用，这一过程涉及从解释器托管内存到固件非托管内存的边界跨越。
内存隔离缺失与沙箱真空
与传统操作系统不同，UEFI 缺乏进程隔离、虚拟内存管理或系统调用过滤机制。promethee 目前以 freestanding 模式构建，仅提供最小 libc stubs，这意味着 JavaScript 代码与固件核心运行在同一特权级和地址空间。一旦脚本中存在越界访问或恶意代码，攻击者可直接操作 SMRAM（系统管理模式内存）或篡改 Secure Boot 变量，导致持久化的供应链攻击。
学术界已意识到这一隔离缺口。USENIX ATC '25 发表的 μEFI 研究提出微内核式隔离框架，通过 trampoline 注入和协议分析将 UEFI 模块降级到用户态沙箱，并引入类似 seccomp 的能力限制机制，将启动阶段开销控制在 1.91% 以内。然而，promethee 等实验性项目尚未集成此类防护，JavaScript 的动态特性（如运行时 eval 或原型链篡改）更增加了攻击面。
具体风险包括：脚本可调用所有暴露的 UEFI Boot Services，缺乏输入验证；浮点运算虽被支持（Duktape 默认启用），但在高特权固件层执行复杂数学运算可能触发未预期的硬件异常；更重要的是，JavaScript 的自动内存管理与 UEFI 的手动内存池分配模型存在语义冲突，可能导致 Use-After-Free 漏洞。
可落地的安全参数与监控清单
对于考虑在固件层引入脚本支持的开发者，以下工程化参数可降低风险：
调用约束：限制 JavaScript 可调用的 UEFI 协议白名单，仅暴露 GOP（图形输出）、SimpleTextOutput 等非特权服务；屏蔽 SetVariable 等可修改 NVRAM 的接口；禁止动态加载外部模块。
内存边界：在 C 绑定层实施指针范围检查，确保脚本无法访问低于 1MB 的实模式兼容区域或 SMRAM；使用 Duktape 的 fatal error handler 拦截异常，防止解释器崩溃导致固件挂起。
能力沙箱：借鉴 μEFI 的 seccomp-like 设计，为脚本执行上下文设置细粒度权限掩码；通过硬件虚拟化（如 Intel VT-x 的 EPT）创建影子页表，将脚本内存与固件堆隔离，即使攻击者突破 JS 引擎也无法直接触及系统关键结构。
监控与回滚：在开发阶段启用完整的 Boot Services 调用日志；实施 A/B 固件分区策略，一旦检测到脚本异常（如超时或非法内存访问），自动回滚到原生 C 实现的备份引导路径。
promethee 项目证明了脚本化固件的技术可行性，但在生产环境中，ABI 绑定的安全沙箱化仍是未解决的难题。开发者在享受 JavaScript 灵活性的同时，必须意识到 pre-OS 环境的特权放大效应 —— 一行未经验证的脚本足以摧毁整个系统的信任链。
参考来源
- promethee: UEFI Bindings for JavaScript (Proof of Concept), Codeberg, 2026. https://codeberg.org/smnx/promethee
- Chen, L., et al. "μEFI: A Microkernel-Style UEFI with Isolation and Transparency." USENIX ATC '25.
- "UEFI Bindings for JavaScript." Hacker News, 2026. https://news.ycombinator.com/item?id=46945348
- UEFI Specification 2.11: Platform Initialization and Boot Services Architecture, UEFI Forum.