بنية Electron: عمليتا التشغيل الرئيسي والعرض

Electron هو إطار عمل يجمع بين Chromium (لعرض الويب) وNode.js (للوصول إلى واجهات برمجة التطبيقات الأصلية)، مما يتيح للمطورين إنشاء تطبيقات سطح مكتب متعددة المنصات باستخدام تقنيات الويب المألوفة. يعمل تطبيق React داخل نافذة متصفح Chromium، بينما يتيح لك Node.js الوصول إلى إمكانات نظام التشغيل.

العملية الرئيسية هي نقطة دخول تطبيق Electron؛ فهي تدير دورة حياة التطبيق، وتنشئ النوافذ وتتحكم فيها، وتتولى التفاعلات مع نظام التشغيل الأصلي. كما تنشئ عمليات العرض وتتمتع بوصول كامل إلى واجهات برمجة تطبيقات Node.js ونظام التشغيل الأساسي.

تنشئ كل BrowserWindow عملية عرض خاصة بها، وتُشغّل هذه العملية Chromium وتنفّذ تطبيق React الخاص بك. توجد عملية عرض واحدة لكل نافذة، وتتصرف هذه العملية إلى حد كبير مثل علامة تبويب عادية في المتصفح؛ إذ تعرض HTML وCSS وJavaScript.

نظرًا إلى أن العملية الرئيسية تتمتع بوصول كامل إلى Node.js، يمكنها قراءة نظام الملفات والكتابة فيه، وإنشاء القوائم الأصلية، وإدارة علبة النظام، وإنشاء العمليات الفرعية، والتفاعل مع الأجهزة. لا تتوفر هذه الإمكانات في عملية العرض افتراضيًا لأسباب أمنية.

عند ضبط contextIsolation على true (وهو الإعداد الافتراضي الحديث)، تكون عملية العرض معزولة في بيئة sandbox ولا يمكنها الوصول مباشرةً إلى واجهات برمجة تطبيقات Node.js. يمنع نموذج الأمان هذا محتوى الويب الضار من الوصول إلى نظام الملفات أو تنفيذ أوامر عشوائية على النظام.

يُعد الاتصال بين العمليات (IPC) الآلية التي تتيح للعملية الرئيسية وعمليات العرض تبادل الرسائل. تستخدم العملية الرئيسية ipcMain للاستماع إلى الرسائل والرد عليها، بينما تستخدم عملية العرض ipcRenderer لإرسالها؛ وجميع الاتصالات غير متزامنة وقائمة على الرسائل.

يشغل سكريبت preload موقعًا وسيطًا خاصًا: فهو يعمل في سياق عملية العرض، لكنه يحتفظ بإمكانية الوصول إلى واجهات برمجة تطبيقات Node.js قبل تحميل محتوى الصفحة. ولذلك يشكّل الجسر الآمن بين عملية العرض المعزولة والعملية الرئيسية ذات الامتيازات.

يتيح contextBridge.exposeInMainWorld لسكريبت preload إتاحة واجهة برمجية آمنة ومنتقاة لعملية العرض. ويمكن لعملية العرض استدعاء هذه الدوال المُتاحة من دون الحصول مطلقًا على وصول مباشر إلى Node.js أو المكوّنات الداخلية في Electron، مما يحافظ على حد أمان قوي.

بعد أن يتيح contextBridge واجهة برمجية تحت اسم مثل "api"، يمكن لمكوّنات React استدعاؤها عبر window.api.myFunction(). يبدو ذلك شبيهًا تمامًا باستدعاء دالة JavaScript عادية، لكن الاستدعاء يمر داخليًا عبر IPC إلى العملية الرئيسية.

يمنع نموذج الأمان في Electron صراحةً الوصول المباشر إلى Node.js من عملية العرض عند تفعيل contextIsolation. ويجب أن تمر جميع العمليات ذات الامتيازات عبر سكريبت preload وcontextBridge، مما يضمن أنه حتى في حال وقوع هجوم XSS في عملية العرض، لن يتمكن من الوصول إلى نظام الملفات.

يسير التفاعل المعتاد على النحو التالي: يستدعي مكوّن React window.api.readFile() ← يستدعي preload الدالة ipcRenderer.invoke() ← تنفّذ العملية الرئيسية ipcMain.handle() الدالة fs.readFile() ← تعود النتيجة إلى عملية العرض على هيئة Promise. تحافظ هذه البنية على نظافة عملية العرض وأمانها.

ما الغرض الأساسي من contextBridge.exposeInMainWorld في Electron؟

يجمع Electron بين Chromium وNode.js: تدير العملية الرئيسية دورة حياة التطبيق وتتمتع بوصول كامل إلى نظام التشغيل، بينما تشغّل عمليات العرض واجهة React في بيئة معزولة. يشكّل سكريبت preload وcontextBridge الجسر الآمن، ويتيح IPC الاتصال الآمن بين العملية الرئيسية ذات الامتيازات وعملية العرض المعزولة.