替换globalThis创建JavaScript沙箱遇变量未定义问题求助

核心原因 #

1. 严格模式下的变量查找规则：ES6模块默认启用严格模式，当你直接引用a这类未声明的变量时，JS引擎会遍历当前函数、模块的词法作用域，找不到就直接抛出ReferenceError——不会自动回退到globalThis上查找属性。只有非严格模式的全局作用域中，未声明变量才会被当作全局对象的属性，模块的作用域机制完全切断了这个逻辑。
2. 模块的全局绑定与globalThis解耦：模块里的console.log等API是模块环境预先注入的独立绑定，和globalThis的指向无关，所以修改globalThis不会影响这些API的可用性。
3. globalThis不控制词法作用域：你修改的只是globalThis变量的指向，但JS的作用域链是词法层面的，和globalThis没有直接关联，函数内的变量查找依然遵循原有的作用域链，不会因为globalThis变了就去新对象上找属性。

可行的沙箱实现方案 #

要实现“无需前缀访问沙箱变量”的隔离效果，得绕开词法作用域的限制，以下是两种实用方案：

方案1：用Function构造器实现纯参数隔离 #

通过Function构造函数生成新函数，把沙箱的变量作为参数传入，函数体内直接使用参数名即可：

const myContext = { a: 1, b: 2 };
// 提取沙箱的key作为函数参数，函数体直接用变量名计算
const sandboxFn = new Function(...Object.keys(myContext), 'return a + b');
// 调用时传入沙箱的属性值
console.log(sandboxFn(...Object.values(myContext))); // 输出3

这种方式完全隔离外部作用域，函数内只能访问传入的参数，不会触及任何全局变量，安全性很高。

方案2：Proxy+with构建无前缀访问沙箱（需谨慎） #

如果必须模拟“无前缀直接访问”的体验，可以结合Proxy和with语句，把沙箱对象作为变量查找的唯一来源：

const myContext = { a: 1, b: 2 };
// 用Proxy让with认为所有变量都已声明，避免严格模式报错
const sandboxProxy = new Proxy(myContext, {
  has(target, prop) {
    return true;
  },
  get(target, prop) {
    // 禁止访问沙箱外的属性，比如console
    if (!(prop in target)) {
      throw new ReferenceError(`${prop} is not defined`);
    }
    return target[prop];
  }
});

function runInSandbox(code) {
  return (function(sandbox) {
    'use strict';
    // 用with把沙箱绑定到当前作用域的变量查找链
    return eval(`with(sandbox) { ${code} }`);
  })(sandboxProxy);
}

console.log(runInSandbox('a + b')); // 输出3
runInSandbox('console.log("test")'); // 抛出ReferenceError，符合隔离要求

注意：eval和with存在潜在安全风险，若执行不受信任代码，必须严格限制Proxy的get方法，防止逃逸到全局环境。

内容的提问来源于stack exchange，提问作者Michael