在Javascript中使用函數（）創建沙箱

Question

我可以限制字符串生成函數（使用函數構造函數）訪問父/全局作用域嗎？

例如：下面的代碼按原樣打印false，因爲該函數正在窗口中存儲/修改變量a。

window.a = 4; 
Function("a=3;")() 
console.log(a === 4); 

我能限制訪問窗口/父範圍，並使其打印出「真」？

Answer 1

我不這麼認爲。使他們的影子他們，你能說出你想要的參數，以保護全局：

window.a = 4; 
Function("a", "a=3;")() 
console.log(a === 4); 

但功能將不得不進入全球不管你嘗試......這就是爲什麼它被稱爲全球。

根據你想要做的事情，還有其他的解決方法，比如網絡工作者......並且一如既往，hidden iframe hacks。

Answer 2

@ Esailija的回答是對的。另外，我建議首先限制你必須保護的全局變量的數量。放任何東西，你通常會放在全局命名空間中的APP範圍，你控制：

var APP = (function() { 
    return { 
     a: 4 
    }; 
}()); 

有沒有辦法完全限制訪問全球範圍內，但至少這種方式，你只需要保護一個對象：APP。

Answer 3

這是一個額外的想法，與Esailija的建議一起可能非常強大（請參閱關於他的討論的評論）。

您可以創建虛擬iframe並使用其Function函數。使用它創建的函數默認情況下只能訪問iframe的範圍，儘管它仍然可以跳出它。幸運的是，通過Esailija的建議，很容易防止這種情況發生。

我能想象的功能是這樣的：

function sandboxed(code) { 
    var frame = document.createElement('iframe'); 
    document.body.appendChild(frame); 

    var F = frame.contentWindow.Function, 
     args = Object.keys(frame.contentWindow).join(); 

    document.body.removeChild(frame); 

    return F(args, code)(); 
} 

DEMO

可選方案，您可能要在前面加上'use strict';的代碼。

---

這至少在Chrome中起作用。

(function() { 
    var frame = document.createElement('iframe'); 
    document.body.appendChild(frame); 
    var same = window === frame.contentWindow.Function('return window;')(); 
    alert(same ? ':(' : ':)'); 
    document.body.removeChild(frame); 
}());