主页 / 问题 / 1010570
Accepted
Talleyran
Asked:2020-08-06 12:52:07 +0000 UTC2020-08-06 12:52:07 +0000 UTC

在字符串中存储条件

  • 772

有这样一个对象，它从中获取 vue 数据进行渲染。有必要在其中存储代码片段（条件）的字符串表示形式。我知道这一切都与风险有关，但这是必要的。在某些时候，需要检查这些条件，如何做到这一点？eval 的默认上下文是窗口，我怎样才能将 obj.vars 中的内容滑入其中？

var obj = {
  vars : {
    a: 5,
    b: 6,
    c: false
    },
  /*еще много всего*/
  blocks: [
      {
        condition: "a<b",
        text: "foo"
      },
      {
        condition: "!c && a>3",
        text: "bar"
      }
    ]
 };
 
 var app = new Vue({
    el: "#app",
    data: {
      blocks: obj.blocks,
      vars: obj.vars
    },
    methods: {
      check: function(cond) {
        if (cond=="") return true; /*своя логика тоже должна быть*/
        let result = true;
        /*result = eval(cond) ?? */
        return result;
      }
    }
 });
<script src="https://cdnjs.cloudflare.com/ajax/libs/vue/2.5.17/vue.js"></script>
<div id="app">
<p v-for="block in blocks" v-if="check(block.condition)">{{block.text}}</p>
</div>

如果有帮助，您可以以不同的形式编写 obj.vars，例如：

[{key:"a", value:5},{key:"b", value:6...]

或作为关联数组。

javascript

1 个回答

  1. Best Answer

    否认责任。 您不应在生产中使用此代码。

    这远非最佳解决方案，仍有一千零一种方法可以破解此代码，它具有相当原始的保护（无法访问全局范围或 DOM），但仍有可能泄漏内存或访问 URL 或存储（索引数据库、本地存储、会话存储）。

    作为最后的手段，如果您从受信任的来源获取代码并且您确信它可以安全地执行，那么您应该使用 HTTPS，这样条件就不会被中间人攻击篡改。

    var obj = {
    vars : {
        a: 5,
        b: 6,
        c: false
    },
    /*еще много всего*/
    blocks: [
        {
            condition: "a<b",
            text: "foo"
        },
        {
            condition: "!c && a>3",
            text: "bar"
        }
    ]
};

function runTrustedCode (variables = {}, code) {
    for (let name of Object.keys(variables)) {
        let regexp = new RegExp(`${name}`, 'g');
        code = code.replace(regexp, `this.${name}`)
    }

    return Function(`"use strict";const window=null;const document=null; return(${ code })`).call(variables);
}

console.log(runTrustedCode(obj.vars, obj.blocks[1].condition))

    • 0

相关问题