Tworzenie piaskownicy wokół funkcji() w JavaScript

Question

Czy mogę ograniczyć dostęp funkcji generowanej przez ciąg (przy użyciu konstruktora funkcji) do zakresów nadrzędnego/globalnego?

Na przykład: poniższy kod, taki jaki jest, drukuje false, ponieważ funkcja zapisuje/modyfikuje zmienną a w oknie.

window.a = 4; 
Function("a=3;")() 
console.log(a === 4); 

Czy mogę ograniczyć dostęp do okna/zakres dominującej i uczynić go wydrukować „true”?

Answer 1

Nie sądzę. Można wymienić globalnych, które chcesz chronić w parametrach tak, że ich cień:

window.a = 4; 
Function("a", "a=3;")() 
console.log(a === 4); 

ale funkcja ma mieć dostęp do globalnych bez względu na to, czego spróbować ... to dlaczego to się nazywa globalny.

W zależności od tego, co próbujesz zrobić, są inne work-aroundy, takie jak pracownicy sieci ... i jak zawsze, hidden iframe hacks.

Answer 2

@ Odpowiedź Esailiji jest słuszna. Dodatkowo, zaleciłbym ograniczenie liczby globalnych zmiennych, które musisz chronić w pierwszej kolejności. Umieścić wszystko, co normalnie można umieścić w globalnej przestrzeni nazw w zakresie APP że sterowanie:

var APP = (function() { 
    return { 
     a: 4 
    }; 
}()); 

Nie ma sposobu, aby całkowicie ograniczyć dostęp do zasięgu globalnym, ale przynajmniej w ten sposób trzeba tylko chronić jeden obiekt : APP.

Answer 3

Oto dodatkowy pomysł, który może być dość potężny wraz z propozycją Esailiji (patrz uwagi na temat jego odpowiedzi na dyskusję).

Można utworzyć sztuczną ramkę iframe i użyć jej funkcji Function. Utworzona funkcja będzie miała domyślnie dostęp do zakresu elementu iframe, ale może się z niego wyrwać. Na szczęście łatwo temu zapobiec, tak jak zasugerowała Esailija.

mogłem wyobrazić funkcję być tak:

function sandboxed(code) { 
    var frame = document.createElement('iframe'); 
    document.body.appendChild(frame); 

    var F = frame.contentWindow.Function, 
     args = Object.keys(frame.contentWindow).join(); 

    document.body.removeChild(frame); 

    return F(args, code)(); 
} 

DEMO

Opcjonalnie można również dodać 'use strict'; do kodu.

---

Działa to przynajmniej w Chrome. Czy funkcja stworzona w ten sposób ma dostęp do globalnej zakresu iframe lub zasięgu globalnym strony mogą być łatwo testowane:

(function() { 
    var frame = document.createElement('iframe'); 
    document.body.appendChild(frame); 
    var same = window === frame.contentWindow.Function('return window;')(); 
    alert(same ? ':(' : ':)'); 
    document.body.removeChild(frame); 
}());