Eval 是邪恶的...那么我应该用什么来代替呢？

Question

ajax 请求返回一个标准 JSON 数组，其中填充了用户的输入。 输入已被清理，并且使用 eval() 函数，我可以轻松创建我的 javascript 对象并更新我的页面......

所以这就是问题。 无论我多么努力地尝试清理输入，我都不愿意使用 eval() 函数。 我已经在 google 上检查了如何使用“AJAX 中的 JSON 而不需要 eval”，并且运行了一堆不同的方法...

我应该使用哪一个？ 有没有一种标准的、经过验证的安全方法来做到这一点？

Answer 1

json.org 有一个很好的 javascript 库

简单用法：

JSON.parse('[{"some":"json"}]');
JSON.stringify([{some:'json'}]);

编辑：作为在评论中指出，如果您查看其源代码（尽管它看起来首先被清理），则使用 eval 来

完全避免它，请查看 json_parse 或 json-sans-eval

json2.js 不安全，json_parse.js 速度慢，json-sans-eval.js 不验证

Answer 2

有没有一种标准的、经过验证的安全方法来做到这一点？

在即将推出的 ECMAScript 3.1 版本的 JavaScript 中，建议采用标准方法来执行此操作： JSON.解析。

IE8、Firefox 3.1/3.5 以及未来很可能的其他流行浏览器都将支持它。 同时，您可以回退到或专门使用 eval()。 它可能是邪恶的，也可能不是； 当然它会比 JSON.parse 慢。 但这是当今解析 JSON 的常用方法。

如果攻击者能够将恶意 JavaScript 注入到您通过 JSON 吐出的内容中，那么您需要担心的问题比 eval-is-evil 更大。

Answer 3

我想说，一旦输入被清理，评估就是最好的方法。 如果您的服务器遭到破坏，人们将能够向客户端发送他们想要的任何脚本。 因此进行评估并不是一个很大的安全风险。 如果您担心人们在数据包到达客户端之前对其进行操作，那么可以再次修改脚本本身。

不用担心评估。 但请确保将其包装在 try...catch 块中，这样如果您的 JSON 被破坏，您的用户就不会收到 JS 错误。

:)

Answer 4

为了安全地将 JSON 转换为 JS 对象，您应该使用 JSON 解析器，例如 这个库。

Answer 5

与命令设计模式比较：http://en.wikipedia.org/wiki/Command_pattern 。 鉴于此，您可以精确定义客户端可以执行的操作，并且您的应用程序将与底层解释一样安全。

Answer 6

取决于您想通过卫生设施实现什么目标。 我在 prototype 框架对 JSON 和安全评估的支持方面取得了巨大成功。

Answer 7

如果您确定不存在注入风险，并且您没有在循环中eval()ing，那么请使用eval()。 与其他选项相比，它无疑会更慢，可能会崩溃，并且需要客户端下载额外的代码。

Answer 8

从 jQuery 中“窃取”

// Try to use the native JSON parser first
return window.JSON && window.JSON.parse ?
    window.JSON.parse( data ) :
    (new Function("return " + data))();

Answer 9

问题：
eval 带来的问题是它在全局范围内执行

eval.call(document, "console.log(this)")
eval.call(navigator, "console.log(this)")
eval.call(window, "console.log(this)")
(function(){eval.call(document, "console.log(this)")})()
>Window

场景：

假设您在各种文档元素的标记代码中使用各个属性，例如属性 onvisible

<img src="" onvisible="src='http://www.example.com/myimg.png';">

您会想要获取所有具有此属性的元素，请将 onvisible-content-string 转为闭包并将其放入 EventHandler 队列中。 这就是 JS Function 构造函数发挥作用的地方。

Function === 0..constructor.constructor
>true

Function('return [this, arguments]').call(window, 1,2,3)
>Window, Arguments[3]]
Function('return [this, arguments]').call(document, 1,2,3)
>Document, Arguments[3]]
Function('return [this, arguments]').call(navigator, 1,2,3)
>Navigator, Arguments[3]]    

把它们放在一起：

var eventQueue = [];
var els = document.querySelectorAll('[onvisible]');

for (var el in els) {
    var jscode = els[el].getAttribute('onvisible');
    eventQueue.push( {el:els[el], cb:Function(jscode)} )
}

//eventQueue[0].cb.call(scope, args);