取代 eval：ECMAScript 2019 推出的函数字符串直接执行更安全！-JavaScript中文网-JavaScript教程资源分享门户

取代 eval：ECMAScript 2019 推出的函数字符串直接执行更安全！

随着前端开发的不断发展壮大，JavaScript 已经成为了前端开发的一大核心技能。然而，在编写 JavaScript 代码时，我们经常需要执行一些动态生成的字符串代码，常常使用 eval 函数来解决这个问题。但是，eval 函数存在很大安全隐患，因为它会将任何传入的字符串代码作为 JavaScript 代码执行，从而可能引起一些安全问题，包括代码注入、XSS 攻击等等。

为了更好地解决这个问题，ECMAScript 2019 新增了函数字符串直接执行的语法，提供了一种更加安全和可控的方式来执行动态生成的字符串代码，让我们不再需要使用 eval 函数，从而避免了 eval 函数可能引起的安全问题。

在这篇文章中，我们将会详细了解函数字符串直接执行的语法，介绍它的使用方法，并给出一些示例代码。同时，我们也会提供一些指导意义，帮助大家更好地使用这个新特性，提高代码的安全性和可读性。

如何使用函数字符串直接执行

函数字符串直接执行是一种基于标签模板语法的语法。使用这种语法，我们可以将 JavaScript 函数嵌入到字符串模板中，并以函数的形式执行这个字符串模板。

下面是一个简单的示例：

// javascriptcn.com 代码示例
function myFunction(str) {

  // 使用标签模板语法将模板字符串转换为可执行的函数
  const fn = new Function(`return ${str}`);

  // 执行可执行的函数
  return fn();

}

// 使用函数字符串直接执行语法
const result = myFunction('1 + 1'); // 2

在这个示例代码中，我们定义了一个名为 myFunction 的函数，并在其中演示了如何使用函数字符串直接执行。我们首先将传入的字符串模板转换成了一个可执行的函数（使用标签模板语法），然后再执行这个函数，得到了字符串模板运算的结果 2。

需要注意的是，函数字符串直接执行的语法仅支持 JavaScript 函数的解析和执行，因此如果需要使用其他特性（如循环、条件判断等），需要使用其他 JavaScript 语法来实现。

函数字符串直接执行的优点

相比于 eval 函数，函数字符串直接执行具有更多的优点。

更加安全：函数字符串直接执行可以最大程度地避免 eval 函数可能引起的安全隐患，包括代码注入、XSS 攻击等等。
更加可读性：函数字符串直接执行可以使代码更加易于理解和阅读，因为代码的执行方式更加明确和可控。
更加可维护性：函数字符串直接执行可以使代码更加易于维护，因为代码的执行逻辑更加清晰和直观。
更好的性能：因为函数字符串直接执行是将字符串模板编译为函数并执行，所以它的执行速度更快，性能更好。

函数字符串直接执行的指导意义

尽管函数字符串直接执行具有很多优点，但也需要注意一些细节，以保证程序的正确性和安全性。

防止代码注入：虽然函数字符串直接执行可以避免 eval 函数可能带来的代码注入问题，但我们仍然需要注意在处理字符串模板时，避免将来自不可信来源的字符串传入函数字符串直接执行函数中。

// 避免将来自不可信来源的字符串传入函数字符串直接执行函数中。
const str = getUntrustedString(); // 从不可信来源获取的字符串
const result = myFunction(str); // str 可能会引起代码注入，从而造成安全问题

注意代码的可读性和可维护性：函数字符串直接执行可以使代码更加易于阅读和维护，但我们仍然需要注意代码的可读性和可维护性，以确保代码逻辑的清晰和直观。

// 函数字符串直接执行可以使代码更加易于阅读和维护
const fn = new Function(`return ${str}`); // 通过标签模板语法可以清晰地表达代码执行的逻辑

确保代码的性能和稳定性：虽然函数字符串直接执行具有更好的性能，但我们仍然需要注意代码的性能和稳定性，以确保程序的正确性和稳定性。

// 函数字符串直接执行可以使代码的性能更好，但我们仍然需要注意代码的性能和稳定性
const fn = new Function(`return ${str}`);
const result = fn();

总结

在本文中，我们介绍了 ECMAScript 2019 推出的函数字符串直接执行语法，详细阐述了它的使用方法、优点和指导意义。需要注意的是，函数字符串直接执行是一种非常有用的功能，但它也需要我们注意一些细节，以确保程序的正确性和安全性。因此，在使用函数字符串直接执行时，我们需要保持警惕和谨慎，遵循良好的编程习惯，以提高代码的质量和可维护性。

来源：JavaScript中文网，转载请注明来源本文地址：https://www.javascriptcn.com/post/652c1acf7d4982a6ebdf0344