javascript - 为什么 EcmaScript 5 严格模式会竭尽全力限制标识符 `eval`

标签 javascript security eval ecmascript-5

根据spec (附件 C),严格模式代码几乎不能做任何可能分配名称为 eval 的标识符的事情。我可以理解,有人可能想限制使用 实际的 eval 函数,但我不明白限制名称的使用有什么用?

最佳答案

bobince 基本上是正确的。 (我在 Mozilla 的 JS 引擎 SpiderMonkey 上工作,已经在其中实现了 ES5 的各个部分,并在时间允许的情况下关注 ECMAScript 讨论。)您(实现者和读者)确实希望 eval 成为规范eval,并且您希望 arguments 成为规范的 arguments。使用严格模式你几乎可以做到这一点。

但我要指出的是 ES5 在这里的限制并没有我们想要的那么多。首先,稍微纠正 bobince,即使使用严格模式,您也不能确定 eval 是原始的 eval 函数:

"use strict";
this.eval = function() { return "ohai"; };
eval("7 + 10"); // "ohai"

这是众所周知的(在 JS 爱好者中)全局对象错误:脚本使用全局对象,跨脚本共享,可命名和可修改,来解析名称。如果不能引用绑定(bind)全局变量的对象,就不会有这个问题。 ES6 很可能会通过另一个选择加入系统(可能像 MIME 类型一样带外,但目前还不清楚)解决这个问题,该系统始终作用于整个脚本。

但即使没有可命名、可变的全局对象,您仍然会遇到问题,因为严格模式可以作用于函数:

function outer()
{
  var eval = function() { return "kthxbai"; };
  function inner()
  {
    "use strict";
    return eval("2 + 5");
  }
  return inner();
}
outer(); // "kthxbai"

这些问题即使在严格模式存在的情况下也存在,并且最早要到 ES6 才会消失,因为它可能会删除全局对象并无条件地强制执行严格模式限制。

所以 eval 在严格模式下还是有点奇怪,因为它可以引用 not-eval。但处理这没什么大不了的——在运行时,实现可以检查真正的 eval ,如果失败,就按照语法碰巧使用 以外的名称时它会做的事情做评估。这需要对像 eval(...) 这样的表达式进行特殊处理。但是任何好的实现无论如何都会这样做,因为 eval 的非静态可观察行为(改变局部变量和参数,引入新变量 [现在在严格模式下取消 - 严格模式下的变量声明mode eval code are local to the eval code],等等),所以这不是真正的负担。

值得注意的是,这些都不适用于作为伪造的特殊形式的参数。要么你通过函数作用域使用严格模式,在这种情况下你会看到 that 函数的 arguments 而不是在外部分配的 arguments范围,或者您通过全局范围拥有它,在这种情况下 arguments 没有特殊行为。 (为什么禁止在全局严格模式代码中更改 arguments?可能是简单性,加上迫使开发人员在任何地方都将它们视为更多的特殊形式,但我不确定。)

关于javascript - 为什么 EcmaScript 5 严格模式会竭尽全力限制标识符 `eval`,我们在Stack Overflow上找到一个类似的问题: https://stackoverflow.com/questions/1933926/

相关文章:

javascript - 如何使用 filter() 方法从 JavaScript 中的数组数组中获取不同的值?

javascript - 异步等待内部如何工作?

javascript - 从外部 html 的表中提取信息

css - CSS 病毒可能存在吗? (或任何安全漏洞)

无需重定向的 ASP.NET 表单例份验证

php - 如何使用 Symfony 2 应用程序的内部处理程序将用户注销

python - 有没有办法为 Python 的 eval 保护字符串?

javascript - 根据 Angular JS 中的应用程序逻辑在 Iframe 上下载或渲染

ssh - ssh eval“$(ssh-agent -s)返回非法的变量名

javascript - 这个解决方案使 eval 安全吗?