17370845950

本文介绍如何在 javascript 中为 eval() 创建受控的局部作用域，避免全局污染和代码注入风险，通过 function 构造函数动态生成闭包函数，将用户定义的变量安全注入执行环境。

在 JavaScript 中，eval() 默认总是在当前作用域（或全局作用域）中执行字符串代码，无法直接传入一个“变量上下文对象”并让其中的键值对自动成为执行时的局部变量——eval().call(context) 是无效的，因为 eval 是特殊语法（非普通函数），不支持 call/apply 绑定作用域。

但有一个安全、可靠且符合语言规范的替代方案：使用 Function 构造函数。它接受参数名列表和函数体字符串，动态创建一个新函数，其形参会自然形成独立的词法作用域。我们可将用户提供的变量名作为参数名，变量值作为实参传入，再在函数体内调用 eval()（此时 eval 在该函数的局部作用域中执行，能直接访问所有参数变量）。

以下是核心实现：

function evalWithContext(script, context = {}) {
  // 提取变量名（参数名）和变量值（实参）
  const paramNames = Object.keys(context);
  const paramValues = Object.values(context);

  // 构建 Function：参数为所有变量名 + 'script'，函数体为 return eval(...)
  // 添加 'script = undefined;' 是关键防护：防止用户脚本意外覆盖 script 参数，导致后续 eval 执行错误内容
  const evaluator = Function(
    ...paramNames,
    'script',
    'return eval("script = undefined;" + script);'
  );

  // 调用函数，传入所有变量值 + script 字符串
  return evaluator(...paramValues, script);
}

// 使用示例
const userVars = { x: 10, y: 20, z: 5 };
const result = evalWithContext('x * y + z', userVars);
console.log(result); // 205

✅ 优势说明：

• 作用域隔离：所有变量仅存在于 evaluator 函数的局部作用域，不会污染全局或外层作用域；
• 防注入增强：script = undefined; 确保 script 参数不可被用户代码篡改，杜绝因重赋值引发的逻辑绕过；
• 类型安全：context 中的值以原生 JavaScript 值传入（数字、布尔、对象等），无需序列化/反序列化，避免 JSON 限制与 eval 字符串拼接漏洞；
• 无全局污染：完全不依赖 window、globalThis 或 with（已废弃且禁用严格模式）。

⚠️ 重要注意事项：

• Function 构造函数仍属于动态代码执行，不应执行不受信任的输入。本方案只解决“作用域可控”问题，不解决“是否该用 eval”这一根本安全问题；
• 若 context 包含函数或复杂对象，它们可在 script 中正常使用（如 obj.method()），但需确保其自身逻辑安全；
• 严格模式下 eval 的行为不变（仍创建局部变量），因此该方案兼容严格模式；
• 避免在循环中高频调用此函数——Function 构造有开销，如需高性能可预编译 evaluator。

总结：当必须使用动态求值且需变量隔离时，Function + 显式参数绑定是目前最健壮、标准兼容的解决方案。它巧妙利用了 JavaScript 的函数闭包机制，以声明式方式构建受控执行环境，远优于字符串拼接或全局污染等反模式。