ECMAScript 2021：避免使用 eval() 函数的新方法-JavaScript中文网-JavaScript教程资源分享门户

ECMAScript 2021：避免使用 eval() 函数的新方法

在 JavaScript 中，eval() 函数是一种用于执行字符串代码的方法。虽然它在某些情况下可能很有用，但它也具有一些缺点和安全威胁。很多人认为，eval() 函数是一个容易受到攻击的安全漏洞点，因此应该尽可能避免使用它。在 ECMAScript 2021 中，我们有了新的方法来避免使用 eval() 函数，这些方法可以使我们的代码更加安全。

使用 eval() 函数的问题

eval() 函数执行的任何字符串都可以被看作是代码，并被转换为可执行的 JavaScript 代码。也就是说，如果你执行一些不安全的字符串，你可能会导致安全问题。比如，假设你有一个函数，它获取一个字符串作为参数并执行它:

function runCode(code) {
  eval(code);
}

现在，如果你向这个函数传递一个恶意的字符串，则恶意代码将被执行:

runCode("console.log('This is safe code')"); // This is safe code
runCode("alert('This is dangerous code')"); // This is dangerous code

由于 eval() 函数的本质，它可以访问并改变当前调用函数的作用域中的任何变量和属性。这意味着，如果你在调用代码中使用 eval() 函数，你可能会导致严重的安全问题。

ES2021 中的新方法

为了避免使用 eval() 函数，我们可以使用以下两种新方法：Function 构造器和 import()。

Function 构造器

Function 构造器可以创建一个新函数并将其返回。使用 Function 构造器的最重要的一点是，它不会从父级作用域中访问变量。这意味着你可以在调用代码时创建一个新函数，并不会有任何安全问题。

以下是使用 Function 构造器的示例代码：

const runCode = new Function('code', code);
runCode("console.log('This is safe code')"); // This is safe code
runCode("alert('This is dangerous code')"); // 这个将会报错：Uncaught ReferenceError: alert is not defined

import() 方法

在 ESmodules（ES2015+）中，你可以像下面这样使用 import() 方法加载模块：

import('myModule.js')
  .then((module) => {
    // module 中的内容可以使用
  })
  .catch((err) => {
    // 如果出现错误，将被捕获
  });

使用 import() 方法加载代码的好处是，它不能解释字符串并将其转换为可执行代码。这意味着，如果你不想让某些不安全的代码被执行，你可以简单地不加载它。使用 import() 方法创建的代码将在新的透明的环境中执行，不会访问父级作用域中的任何变量或函数。而想要访问父级作用域中的变量或函数，可以使用import()方法的另外两个参数。

以下是 import() 方法的示例代码：

const module = import('myModule.js');
module.then((myModule) => {
  myModule.run();
});

总结

eval() 函数是一个强大的功能，但是它是不安全的，容易遭到攻击。在 ECMAScript 2021 的新标准中，我们有了新的方法来避免使用 eval() 函数：Function 构造器和 import() 方法。这些方法可以保护你的代码免受安全漏洞的威胁，使你的应用程序更加安全。

来源：JavaScript中文网，转载请注明来源 https://www.javascriptcn.com/post/6483dda148841e9894318176