사용자 정의 계산을 안전하게 평가하십시오.

Question

문자열로 저장되는 사용자 정의 계산을 허용해야합니다. 수식은 변수를 실제 값으로 대체하여 실행하기 전에 동적으로 구문 분석됩니다.

같은 맥락에서 동일한 고객 계정에 속한 사람들 만 잠재적으로 서로에게 악성 코드를 삽입 할 수 있습니다. 동료를 공격하는 불량 직원. 내가 생각할 수있는

예 (I 더있다 확신) :

"{x} * {y} * function() {...}()" 
"{x} * {y} * eval(...)" 

// replace variables 

eval("above input strings") 

는 지금이 확보하는 방법에 대한 아이디어를 찾고 있어요. eval()을 처음 실행할 때 위험을 줄이거 나 복잡한 파서를 작성할 필요가없는 대안이 필요한 이유는 무엇입니까?

Answer 1

제 3 자에 의해 작성된 신뢰할 수없는 자바 스크립트를 실행해야하는 비슷한 문제가 발생했습니다. 웹 객체를 단순하게 사용하려면 WebWorker를 사용할 수 있습니다. WebWorker는 window과 같은 전역 변수에 액세스 할 수없는 별도의 스레드를 생성합니다.

참고 : WebWorker에는 HTML5가 필요합니다. 주요 자바 스크립트 파일에 다음

self.onmessage = function(e) { 
    postMessage(eval(e.data)); 
}; 

:

는 "worker.js"파일을 만들고이 경우

var worker = new Worker('worker.js'); 
worker.onmessage = function(e) { 
    alert('The answer is ' + e.data); 
    worker.terminate(); // to free up the resources 
}; 
var my_already_parsed_function = '3+5+6'; 
worker.postMessage(my_already_parsed_function);