安全評估用戶定義的計算

Question

我需要允許用戶定義的計算，它們以字符串形式存儲。公式在執行之前通過用實際值替換變量來動態分析。

在這種情況下，只有屬於同一個客戶帳戶的人可能會相互注入惡意代碼，一個流氓員工攻擊同事，這已經夠糟糕了。

例子我能想到的（我敢肯定有更多）：

"{x} * {y} * function() {...}()" 
"{x} * {y} * eval(...)" 

// replace variables 

eval("above input strings") 

現在我正在尋找如何確保這一想法。需要降低運行eval（）的風險，還是需要編寫複雜解析器的替代方案？

Answer 1

我遇到了類似的問題，我需要運行由第三方編寫的不受信任的JavaScript。如果您只是希望它很簡單，則可以使用WebWorker，該WebWorker生成一個單獨的線程，該線程無法訪問像window這樣的全局變量。

注意：WebWorker需要HTML5。在主JavaScript文件

self.onmessage = function(e) { 
    postMessage(eval(e.data)); 
}; 

然後：

創建「worker.js」文件

var worker = new Worker('worker.js'); 
worker.onmessage = function(e) { 
    alert('The answer is ' + e.data); 
    worker.terminate(); // to free up the resources 
}; 
var my_already_parsed_function = '3+5+6'; 
worker.postMessage(my_already_parsed_function);