使用仅有的 C 代码安全地执行任意 Lua 代码

只是不要使用 luaL_openlibs。另一个选项是在你的C程序中将一些Lua代码存在一个字符串或字节码中，在任何其他操作之前执行它。

任何你在 Lua 脚本中编写的代码都可以通过 Lua C API 在 C 中执行。但是，在 C 中跟踪等价的 Lua 脚本要更加困难。当我想要为主机程序编写一些受保护的 Lua 脚本时，我的做法通常有：

• 把它们放在一个独立的目录中。
• 将它们加密成只有我的 C 程序知道私钥的存档文件。
• 将它们作为多行字符串嵌入到 C 源代码中。
• 将编译后的脚本作为二进制字符串嵌入到我的 C 源代码中，以防止它们通过程序的 exe 二进制编辑轻易被盗用。（有时，我使用脚本的 SHA 值来防止它们在程序内部被编辑） …等等。

你绝对需要使用沙盒来保护运行游戏的计算机免受恶意脚本的攻击。例如不允许访问文件系统。但要注意，要想完全保护主机程序免受各种恶意脚本（例如通过 while 1 循环挂起游戏的 Lua 实例线程，或是巨大的内存使用量，复杂的字符串匹配调用等等）的攻击，您需要做更复杂的工作，并向 mod 脚本提供更多的约束条件。

例如，即使是 while 1 do end 也会导致魔兽争霸的用户界面发生挂起。

希望这会有所帮助。