如何为JavaScript的eval创建包含自定义变量的本地执行上下文

嘿，这个需求我太懂了——既要让用户自定义的变量能被eval（或者类似的动态代码）访问到，又不想用字符串拼接这种容易踩注入坑的方法，更不想污染全局作用域。下面给你几个实用的解决方案，按推荐程度排序：

1. 使用Function构造函数（最推荐） #

Function构造函数其实是比eval更安全可控的动态代码执行方式，它可以直接把自定义变量作为函数参数传入，这些变量会成为函数内部的局部变量，完全不会污染全局，也避免了字符串拼接带来的注入风险。

举个例子：

// 用户定义的变量列表
const userDefinedVariables = [
  { name: 'x', value: 1 },
  { name: 'y', value: 2 },
  { name: 'z', value: 3 }
];

// 提取变量名和对应的值数组
const variableNames = userDefinedVariables.map(item => item.name);
const variableValues = userDefinedVariables.map(item => item.value);

// 创建一个动态函数：参数是自定义变量名，函数体是要执行的代码
const runDynamicCode = new Function(
  ...variableNames,
  'return x + y + z; // 这里写你要执行的动态代码'
);

// 调用函数，传入变量值，得到结果
const result = runDynamicCode(...variableValues);
console.log(result); // 输出 6

为什么这个方法靠谱？ #

• 变量都是函数的局部作用域，不会跑到全局去捣乱；
• 完全不需要拼接变量赋值的字符串，从根源上避免了代码注入风险；
• 性能比eval更好，因为引擎可以优化Function创建的函数。

2. 使用with语句（不推荐，仅作了解） #

with语句可以把一个对象的属性“映射”到当前作用域中，这样eval里的代码就可以直接用变量名访问对象的属性。但这个方法有不少坑，一般不建议在生产环境用：

const context = {};
userDefinedVariables.forEach(({ name, value }) => {
  context[name] = value;
});

// 注意：严格模式下禁止使用with！
const result = (function() {
  with(context) {
    return eval('x + y'); // 这里直接用x、y就能访问context里的属性
  }
})();
console.log(result); // 输出 3

为什么不推荐？ #

• with会让JS引擎难以优化代码，导致性能下降；
• 如果eval里的变量名在context中不存在，会往上遍历作用域链，可能意外访问到其他变量，存在安全隐患；
• ES5严格模式直接禁用了with，兼容性受限。

3. 动态解构赋值（折中方案） #

如果你的自定义变量名都是合法的JS标识符，可以用动态解构的方式在局部作用域创建变量，再执行eval。不过这个方法还是用到了字符串拼接，安全性不如Function，但比直接拼接变量赋值要好：

const userDefinedVariables = [
  { name: 'x', value: 1 },
  { name: 'y', value: 2 }
];
const context = Object.fromEntries(
  userDefinedVariables.map(item => [item.name, item.value])
);

const codeToExecute = 'x + y';
const result = (function(ctx, code) {
  // 动态生成解构语句，把ctx的属性变成局部变量
  return eval(`const { ${Object.keys(ctx).join(', ')} } = ctx; return ${code};`);
})(context, codeToExecute);

console.log(result); // 输出 3

注意事项 #

• 这个方法依赖变量名是合法的JS标识符，如果用户输入的变量名包含特殊字符（比如空格、连字符），会直接报错；
• 虽然比直接拼接变量赋值安全，但还是存在一定的注入风险，比如变量名如果是恶意构造的字符串，可能破坏解构语句。

备注：内容来源于stack exchange，提问作者Max Hudson