如何安全运行/包含/要求远程JavaScript？

Question

假设我的面包店有一个API。我想从远程URL（例如要旨）接收烘焙说明

class Bakery{
    static bake(instructionsURL){
        const workers = ['bob','betty'];
        //const followInstructions = getFromURL(instructionsURL); //need help here
        const product = followInstructions(workers);
        console.log(product);
    }
}

我想确保其中包含了说明，这样我就不会冒其余代码的风险。我想做一些类似模块需求或导入的事情。我找不到不必盲目执行未知代码的解决方案...

Answer 1

您应该在外部域的沙盒iframe中执行代码，就像what StackOverflow does一样，以处理其摘要功能中正在运行的不受信任的代码。

请注意，非常老的浏览器（在IE11之前考虑）不支持沙盒iframe。