JavaScript中的eval()函数可以将字符串作为代码执行。虽然它可以用于很多有用的任务，但也可能成为安全漏洞。如果您不小心将用户提供的数据传递给eval()，他们就能够注入恶意代码并在您的网站上执行它。
为了降低这种安全风险，我们应该始终限制eval()执行的范围。本文将介绍一些方法来实现这个目标。
使用IIFE（Immediately Invoked Function Expression）
最简单的限制eval()的方法是使用立即执行函数表达式（IIFE）。这样，您可以将eval()嵌套在其中，并通过参数传递要评估的代码。由于IIFE具有自己的作用域，因此代码将只在该作用域内运行。以下是一个示例：
--------- -- - --- - - --- ----------------------- -- --------------- - -- --- ------- -----
在上面的示例中，x定义在IIFE中，无法从eval()中访问。
使用严格模式
另一种限制eval()的方法是使用JavaScript的严格模式。在严格模式下，当您尝试访问未声明的变量时，会抛出ReferenceError，而不是创建默认全局变量。这使得无法在全局作用域中访问eval()中定义的变量。
---- -------- --- - - --- ----------------------- -- --------------- - -- --- -------
在上面的示例中，由于x未在严格模式下声明，因此eval()不能访问它。
使用Function构造函数
最后一种限制eval()的方法是使用Function构造函数。Function构造函数接收一个参数列表和函数体，并创建一个新的函数对象。这意味着您可以将要评估的代码传递给Function构造函数，并将其创建为与当前作用域无关的函数。
--- - - --- --- ---- - --- --------------------------- ------- -- --------------- - -- --- -------
在上面的示例中，我们使用Function构造函数创建了一个名为func的函数对象。由于该函数在全局作用域中定义，因此无法访问x。
结论
在JavaScript中，eval()函数可能成为安全漏洞。为了降低这种风险，我们应该始终限制eval()执行的范围。本文介绍了三种方法来实现这个目标：使用IIFE、使用严格模式和使用Function构造函数。通过了解这些技术，您可以更好地保护自己的网站免受恶意注入攻击。
示例代码
--------- -- - --- - - --- ----------------------- -- --------------- - -- --- ------- ----- ---- -------- --- - - --- ----------------------- -- --------------- - -- --- ------- --- - - --- --- ---- - --- --------------------------- ------- -- --------------- - -- --- -------
来源：JavaScript中文网 ，转载请注明来源 本文地址：https://www.javascriptcn.com/post/30018