Eval是邪恶的…那我应该用什么来代替呢?

ajax请求返回一个标准的JSON数组,填充我的用户input。 input已被消毒,并使用eval()函数,我可以很容易地创build我的JavaScript对象,并更新我的网页…

所以这是问题。 无论我如何努力消毒input,我宁愿不使用eval()函数。 我已经检查谷歌的方式来使用“没有eval的AJAX的JSON”,并跑了一堆不同的方法…

我应该使用哪一个? 有没有一个标准的,可靠的方法来做到这一点?

json.org有一个很好的JavaScript库

简单的用法:

JSON.parse('[{"some":"json"}]'); JSON.stringify([{some:'json'}]); 

编辑 :正如在评论中指出,这使用eval,如果你通过它的来源(虽然它看起来是消毒第一)

为了完全避免它,看看json_parse或者json-sans-eval

json2.js是不安全的,json_parse.js是慢的,json-sans-eval.js是不validation的

有没有一个标准的,可靠的方式来做到这一点?

在即将到来的ECMAScript 3.1版本的JavaScript中有一个build议的标准方法: JSON.parse 。

它将在IE8,Firefox 3.1 / 3.5以及未来其他stream行的浏览器中得到支持。 与此同时,您可以退回到eval(),也可以使用eval()。 邪恶可能会或可能不会; 肯定会比JSON.parse慢。 但是这是通常的parsingJSON的方法。

如果攻击者能够通过JSON向内容注入恶意的JavaScript,那么您就有更多的问题需要担心,而不是eval-is-evil。

我想说,一旦input信息被消毒,eval就是最好的select。 如果你的服务器遭到入侵,人们将能够发送他们想要的任何脚本给客户端。 因此,评估并不是一个很大的安全风险。 如果您担心人们在到达客户端之前操纵数据包,那么脚本本身可以被修改。

不要担心评估。 但是请确保将其包装在try … catch块中,以便您的用户在JSON受到损坏时不会收到JS错误。

🙂

为了安全地将JSON转换为JS对象,您应该使用JSONparsing器,例如该库提供的JSON.parse()函数。

比较命令devise模式: http : //en.wikipedia.org/wiki/Command_pattern 。 鉴于此,您可以精确地定义客户端可以执行的操作,并且您的应用程序将与底层解释一样安全。

取决于你想用卫生完成什么。 我在原型框架支持JSON和安全评估方面取得了巨大的成功。

如果您确定没有注入风险,并且您没有eval()ing循环,则使用eval() 。 它会比较有利的其他选项,肯定会更慢,可能会打破,并要求客户下载额外的代码。

从jQuery“被盗”

 // Try to use the native JSON parser first return window.JSON && window.JSON.parse ? window.JSON.parse( data ) : (new Function("return " + data))(); 

问题: eval构成的问题是它在全局范围内执行

 eval.call(document, "console.log(this)") eval.call(navigator, "console.log(this)") eval.call(window, "console.log(this)") (function(){eval.call(document, "console.log(this)")})() >Window 

场景:

假定您在各种文档元素的标记代码中使用各个属性,例如不可见的属性

 <img src="" onvisible="src='http://www.example.com/myimg.png';"> 

你想获得所有具有这个属性的元素,把onvisible-content-string变成一个闭包,并把它放到一个EventHandler队列中。 这是JS函数构造函数进入的地方。

 Function === 0..constructor.constructor >true Function('return [this, arguments]').call(window, 1,2,3) >Window, Arguments[3]] Function('return [this, arguments]').call(document, 1,2,3) >Document, Arguments[3]] Function('return [this, arguments]').call(navigator, 1,2,3) >Navigator, Arguments[3]] 

把它放在一起:

 var eventQueue = []; var els = document.querySelectorAll('[onvisible]'); for (var el in els) { var jscode = els[el].getAttribute('onvisible'); eventQueue.push( {el:els[el], cb:Function(jscode)} ) } //eventQueue[0].cb.call(scope, args);