javascript - 动态沙箱内联 JavaScript 的最佳方法是什么？

Question

我有一个 WordPress 插件，它使用 AJAX 加载页面并确保与其他插件和“小部件”的兼容性。

截至目前，我使用以下代码评估要更新的内容 block 内的所有内联 JS:

  function do_JS(e){
        var Reg = '(?:<script.*?>)((\n|.)*?)(?:</script>)';
        var match    = new RegExp(Reg, 'img');
        var scripts  = e.innerHTML.match(match);
        var doc = document.write;
        document.write = function(p){ e.innerHTML = e.innerHTML.replace(scripts[s],p)};
        if(scripts) {
            for(var s = 0; s < scripts.length; s++) {
                var js = '';
                var match = new RegExp(Reg, 'im');
                js = scripts[s].match(match)[1];
                js = js.replace('<!--','');
                js = js.replace('-->','');
                eval('try{'+js+'}catch(e){}');
            }
        }
        document.write = doc;
    }

我希望能够更好地对 JS 进行沙盒处理，以便将冲突的风险降至最低。我的一个想法是动态创建一个 <iframe>并在其中运行 JS，但我希望有更好的方法来确保兼容性和提高安全性。

Answer 1

您可以尝试使用 caja 重新编译 javascript: http://en.wikipedia.org/wiki/Caja_project