이 시나리오에서 eval()보다 나은 방법이 있습니까?

Question

Google Apps Script를 사용하여 앱에 액세스하는 사용자로 실행되는 웹 앱입니다.

일부 사용자에게는 맞춤 데이터와 코드가 있습니다.

맞춤 정보는 개발자의 Google 드라이브에있는 텍스트 파일에 있으며 특정 사용자의보기 권한 만 있습니다.

텍스트 파일의 내용은 더미 코드를 아래와 같이 할 수있다 :

, 우리는 평가()를 사용할 수있는 응용 프로그램으로 그 사용자 정의 데이터/코드를 얻기 위하여

var oConfig = { 
    some : "OK", 
    getinfo : function (s) { 
    return this.some + s; 
    } 
} 

아래와 같이

var rawjs = DriveApp.getFileById(jsid).getBlob().getDataAsString(); 
    eval(rawjs); 
    Logger.log(oConfig.getinfo("?")); // OK? 

내 질문은 :

1. 평가보다는 이러한 목표를 달성하기 위해 더 나은 방법이 있나요()?

2. 텍스트 파일을 개발자 만 편집 할 수 있다는 점을 감안할 때 eval() 보안이 충분합니까?

덕분에, 파우스 토

Answer 1

글쎄, 그것은 충분히 보안 보인다. 그러나 eval을 사용하면 코드 디버깅이 어려워지고 다른 문제가 발생할 수있는 등의 다른 문제가 있습니다.

코드에서 이러한 사용자 지정 데이터를 생성하는 경우 그러한 다양한 사용자 지정 항목을 열거 할 수 있다고 생각합니다. 그렇다면 스크립트에 코드를 남겨두고 드라이브에 데이터 만 저장하고 스크립트에서 구성 개체를 다시 작성하는 방법에 대한 표시기 (함수 변형 이름 등)를 사용합니다. 예를 들어 :

function buildConfig(data) { 
    var config = JSON.parse(data); //only data, no code 
    config.getInfo = this[config.getInfo]; //hook code safely 
    return config; 
} 

function customInfo1(s) { return this.some + s; } 

function customInfo2(s) { return s + this.some; } 

function testSetup() { 
    //var userData = DriveApp.getFileById(jsid).getBlob().getDataAsString(); 
    var userData = '{"some":"OK", "getInfo":"customInfo1"}'; //just for easier testing 

    var config = buildConfig(userdata); //no eval 

    //let's test it 
    Logger.log(config.getInfo('test')); 
} 

Answer 2

1. 그것은 보안 보인다. 그러나 텍스트 파일에 대용량 데이터가있는 경우 실행 프로세스가 느려집니다.

2. 사용자 정의 데이터/코드를 구문 분석하기 위해 eval() 대신 JSON.parse()를 사용하는 것이 좋습니다.

   { 
       some : "OK",   
       getinfo : "function(s){return this.some +\" \"+ s;}"  
   }   
   
   var rawjs = DriveApp.getFileById(jsid).getBlob().getDataAsString();   
   var oConfig = JSON.parse(rawjs, function(k,v){//put your code here to parse function}); // avoid eval()   
   Logger.log(oConfig.getinfo("?"));