ECMAScript 2021：避免使用 eval() 函数的新方法
在 JavaScript 中，eval() 函数是一种用于执行字符串代码的方法。虽然它在某些情况下可能很有用，但它也具有一些缺点和安全威胁。很多人认为，eval() 函数是一个容易受到攻击的安全漏洞点，因此应该尽可能避免使用它。在 ECMAScript 2021 中，我们有了新的方法来避免使用 eval() 函数，这些方法可以使我们的代码更加安全。
使用 eval() 函数的问题
eval() 函数执行的任何字符串都可以被看作是代码，并被转换为可执行的 JavaScript 代码。也就是说，如果你执行一些不安全的字符串，你可能会导致安全问题。比如，假设你有一个函数，它获取一个字符串作为参数并执行它:
-------- ------------- - ----------- -
现在，如果你向这个函数传递一个恶意的字符串，则恶意代码将被执行:
-------------------------- -- ---- --------- -- ---- -- ---- ---- -------------------- -- --------- --------- -- ---- -- --------- ----
由于 eval() 函数的本质，它可以访问并改变当前调用函数的作用域中的任何变量和属性。这意味着，如果你在调用代码中使用 eval() 函数，你可能会导致严重的安全问题。
ES2021 中的新方法
为了避免使用 eval() 函数，我们可以使用以下两种新方法：Function 构造器和 import()。
- Function 构造器
Function 构造器可以创建一个新函数并将其返回。使用 Function 构造器的最重要的一点是，它不会从父级作用域中访问变量。这意味着你可以在调用代码时创建一个新函数，并不会有任何安全问题。
以下是使用 Function 构造器的示例代码：
----- ------- - --- ---------------- ------ -------------------------- -- ---- --------- -- ---- -- ---- ---- -------------------- -- --------- --------- -- --------------- --------------- ----- -- --- -------
- import() 方法
在 ESmodules（ES2015+）中，你可以像下面这样使用 import() 方法加载模块：
---------------------
-------------- -- -
-- ------ --------
--
------------ -- -
-- -----------
---使用 import() 方法加载代码的好处是，它不能解释字符串并将其转换为可执行代码。这意味着，如果你不想让某些不安全的代码被执行，你可以简单地不加载它。使用 import() 方法创建的代码将在新的透明的环境中执行，不会访问父级作用域中的任何变量或函数。而想要访问父级作用域中的变量或函数，可以使用import()方法的另外两个参数。
以下是 import() 方法的示例代码：
----- ------ - ---------------------- ---------------------- -- - --------------- ---
总结
eval() 函数是一个强大的功能，但是它是不安全的，容易遭到攻击。在 ECMAScript 2021 的新标准中，我们有了新的方法来避免使用 eval() 函数：Function 构造器和 import() 方法。这些方法可以保护你的代码免受安全漏洞的威胁，使你的应用程序更加安全。
来源：JavaScript中文网 ，转载请联系管理员！ 本文地址：https://www.javascriptcn.com/post/6483dda148841e9894318176