Question

在我的网络应用中，我想接受任意JavaScript对象作为GET参数。所以我需要以类似于location.search的方式解析eval，但我想创建仅包含自包含的对象（对象文字，数组，正则表达式和可能的限制访问函数）：

var search =
    location.search ?
    decodeURIComponent(location.search).substring(1).split('&') :
    ['boo=alert(1)', 'filter={a: /^t/, b: function(i){return i+1;}}']
;
var params = {};
for (var i = 0, temp; i < search.length; i++){
    temp = search[i].split('=');
    temp = temp[1] ? temp : [temp[0], null];
    params[temp[0]] = saferEval(temp[1]);
};
console.log(params);

我提出了一个阻止访问全局变量的saferEval函数版本，但它不会阻止对alert()等内置函数的访问：

var saferEval = function(s) {
    'use strict';
    var deteleGlobals =
        'var ' +
        Object.getOwnPropertyNames(window)
          .join(',')
          .replace(/(?:eval|chrome:[^,]*),/g, '') +
        ';'
    ;
    try {
        return eval(deteleGlobals + '(' + s + ');') || s;
    } catch(e) {
        return s;
    };
};

查看我的 jsFiddle - alert(1)代码已执行。 ^{请注意，jsFiddle脚本无法访问top.location，如果您想要使用?filter={a: /%5Cd+/g}这样的实际查询参数，则必须在本地运行代码。}

我会use JSON，但我需要在数组和对象内的任意位置使用正则表达式。我不会将任何这些对象发送回服务器，因此使用eval这样做不会对安全造成太大损害......

如何将字符串（对JavaScript对象进行编码）转换为对象，而不让它访问全局命名空间和内置函数？

UPDATE - 只有有用的“任意”对象才是regexp文字......

Answer 1

根据您的评论，您有兴趣看到一个解决方案，只能解决您的JSON中有正则表达式值的问题，那么您可以将所有正则表达式值编码为普通JSON中的字符串，如下所示：

"/this is my regex/"

然后，将JSON正常处理为javascript对象，然后在其上调用此函数，该函数将递归遍历所有对象和数组，查找所有字符串项，检查上述格式，如果找到，则转换为项目到正则表达式。这是代码：

function isArray(obj) {
    return toString.call(obj) === "[object Array]";
}

function isObject(obj) {
    return Object.prototype.toString.call(obj) === '[object Object]'
}

var regexTest = /^\/(.*)\/([gimy]*)$/;

function convertRegex(item) {
    if (isArray(item)) {
        // iterate over array items
        for (var i = 0; i < item.length; i++) {
            item[i] = convertRegex(item[i]);
        }
    } else if (isObject(item)) {
        for (var prop in item) {
            if (item.hasOwnProperty(prop)) {
                item[prop] = convertRegex(item[prop]);
            }
        }
    } else if (typeof item === "string") {
        var match = item.match(regexTest);
        if (match) {
            item = new RegExp(match[1], match[2]);
        }
    }
    return item;
}

示例用法：

var result = convertRegex(testObj);

我在调试器中逐步执行的测试环境：http://jsfiddle.net/jfriend00/bvpAX/

Answer 2

在有更好的解决方案之前，我会将alert（等）添加到我的局部变量列表中，这将掩盖eval范围内的全局/内置函数：

var deteleGlobals =
    'var ' +
    Object.getOwnPropertyNames(window)
      .join(',')
      .replace(/(?:eval|chrome:[^,]*),/g, '') +
    ',alert,confirm,prompt,setTimeout;'
;

jsFiddle

解析包含/ regexp / literals的类似JSON的输入

2 个答案: