Lua setfenv/元表沙箱赢得'；不要使用ROBLOX方法

在ROBLOX Lua中，我正在编写一个涉及用户创建和运行Lua脚本的游戏。显然，我需要防止使用某些服务和函数，比如Player类上的Kick函数，或者任何与数据存储或TeleportService相关的东西

到目前为止，我已经成功地通过使用setfenv将函数的环境设置为元表（附加到“沙盒”表）来创建沙盒环境。在_索引上，如果在沙箱表中找不到任何内容，则它在真实环境中的外观与正常情况相同。这允许我在沙箱表中放置假函数，这些函数将被使用，而不是真正的对应函数

但是，假设我沙盒了ClearAllChildren函数。玩家可以通过以下方式轻松逃离沙箱：

someObject.Parent.someObject:ClearAllChildren()

这是因为获取实例的父级会为它们提供真实的版本，而不是沙盒版本。这个缺陷也可以通过许多其他方式消除

所以我做了一个对象包装器。对实例调用wrap（obj）会返回使用newproxy创建的假版本（true）。其元表的_索引确保对象的任何子对象（或实例属性，如父对象）将返回包装版本

我的问题很可能是包装器的设置方式。尝试对沙箱中的对象调用任何方法，如下所示：

x = someObject:GetChildren()

导致以下错误：

Expected ':' not '.' calling member function GetChildren

以下是我的沙盒当前的完整代码：

local _ENV = getfenv(); -- main environment

-- custom object wrapper
function wrap(obj)
    if pcall(function() return obj.IsA end) then -- hacky way to make sure it's real
        local realObj = obj;
        local fakeObj = newproxy(true);
        local meta = getmetatable(fakeObj);
        meta['__index'] = function(_, key)
            -- TODO: logic here to sandbox wrapped objects
            return wrap(realObj[key]) -- this is likely the source of method problem
        end;
        meta['__tostring'] = function()
            return realObj.Name or realObj;
        end;
        meta['__metatable'] = "Locked";
        return fakeObj;
    else
        return obj;
    end;
end;

-- sandbox table (fake objects/functions)
local sandbox = {
    game = wrap(game);
    Game = wrap(Game);
    workspace = wrap(workspace);
    Workspace = wrap(Workspace);
    script = wrap(script);
    Instance = {
        new = function(a, b)
            return wrap(Instance.new(a, b))
        end;
    };
};

-- sandboxed function
function run()
    print(script.Parent:GetChildren())
    print(script.Parent)
    script.Parent:ClearAllChildren()
end;

-- setting up the function environment
setfenv(run, setmetatable(sandbox, {__index = _ENV;}));

run();

---

我如何解决这个问题？

您也可以提供

\uu index=\u ENV

谢谢，我没有意识到这一点。