本文研究触发-动作平台（Trigger-Action Platforms, TAPs）中的数据隐私问题。TAPs（如IFTTT、Zapier）允许用户将独立的Web服务或物联网设备连接起来，通过简单的“触发-计算-动作”规则实现自动化，例如“当温度传感器超过阈值时发送邮件通知”。这类平台在带来便利的同时，也引入了大规模安全风险：一旦TAP服务器被攻破，攻击者将获取数百万用户的敏感数据（如智能门锁状态、位置信息、健康数据等）。针对这一风险，作者提出了eTAP，一个隐私增强的触发-动作平台。eTAP的核心思路是：在不以明文访问用户私有数据、也不学习计算结果的任何信息的前提下，执行触发-计算-动作规则。技术实现上，eTAP以混淆电路（garbled circuits）为原语，并利用了触发-计算-动作规则的特殊结构来提升实用性。作者正式阐述了协议的安全保证并给出了证明。他们实现了eTAP原型，支持主流商业TAP（IFTTT和Zapier）上最常用的操作类型，包括对私有触发数据的布尔运算、算术运算和字符串运算。实验表明，eTAP能够运行IFTTT前500条规则中的100%，以及Zapier所有公开规则中的93.4%。基于十个覆盖多种操作的现有规则进行性能评估，eTAP的性能开销在可接受范围内：平均规则执行延迟增加约70毫秒（增加55%），吞吐量降低约59%。本文的主要贡献在于首次提出了一种实用的、基于混淆电路的隐私保护TAP方案，在保持与现有规则高度兼容的同时，提供了可证明的安全隐私保障。适合关注IoT安全、隐私计算、安全协议设计的蓝队研究人员、SOC分析人员及安全架构师阅读。

本文聚焦于JavaScript驱动的触发-动作平台（TAPs）的安全问题。TAPs（如IFTTT、Zapier和开源替代Node-RED）允许用户定义跨设备和服务的自动化规则（例如“如果检测到运动，则发送邮件”），但第三方应用（通常以JavaScript形式部署）可引入严重的安全与隐私风险。作者首先对主流TAP进行安全分析，发现IFTTT、Zapier和Node-RED均存在可被利用的漏洞，包括从用户处窃取数据乃至完全接管平台。他们向相关平台报告了问题，并针对Node-RED进行了实证研究以评估影响。为在保持灵活性的同时增强安全性，作者提出了SandTrap——一种新颖的JavaScript监控器。SandTrap结合Node.js的vm模块与基于全结构代理的双向膜（two-sided membranes），实现细粒度的访问控制策略。它还包含策略自动生成机制，辅助开发者配置。作者将SandTrap实例化应用于IFTTT、Zapier和Node-RED，并通过一组基准测试证明其能强制执行多种策略，且运行时开销在可接受范围内。该工作的核心贡献在于提供了一种安全、灵活的方式来集成第三方JavaScript应用，而非依赖平台本身的信任假设。