React应用中如何安全验证CMS提供的JS对象逻辑语句？

在客户端React应用中，要安全验证基于CMS提供的逻辑语句，同时隔离全局资源访问，可采用以下几种方案：

方案一：使用new Function并严格限制作用域 #

new Function相比eval更可控，通过仅传入目标对象来完全隔离全局环境，避免访问window、cookies等资源。

function evaluateLogic(obj, logic) {
  // 仅暴露需要验证的对象，构建沙箱环境
  const sandbox = { user: obj };
  // 构造仅接收目标对象的函数，逻辑语句仅能访问该对象
  const validationFunc = new Function('user', `return ${logic};`);
  
  try {
    return validationFunc(sandbox.user);
  } catch (error) {
    // 捕获语法错误或非法访问异常
    console.error('逻辑验证失败:', error);
    return false;
  }
}

// 测试示例
const originalObject = { properties: { phone: '1234567890' } };
const logicFromCMS = "user.properties.phone.length != 10";
console.log(evaluateLogic(originalObject, logicFromCMS)); // 输出 false

安全说明：函数内部无法访问全局变量，因为new Function的作用域被限制为仅传入的user对象，任何尝试访问全局资源的逻辑都会抛出异常。

方案二：自定义表达式解析器（最高安全级） #

如果需要完全避免执行动态代码，可以自己实现一个轻量解析器，仅支持预定义的语法（如属性访问、基础比较运算符），从根源杜绝代码注入风险。

function evaluateLogic(obj, logic) {
  // 匹配属性路径、运算符、目标值的正则（仅支持基础语法）
  const logicPattern = /^([\w.]+)\s*([!=<>]+)\s*(.*)$/;
  const matchResult = logic.match(logicPattern);
  
  if (!matchResult) return false;
  
  const [, propPath, operator, targetStr] = matchResult;
  
  // 遍历对象获取目标属性值
  let currentValue = obj;
  const props = propPath.split('.');
  for (const prop of props) {
    if (currentValue == null || !(prop in currentValue)) {
      return false;
    }
    currentValue = currentValue[prop];
  }

  // 解析目标值（支持数字、字符串）
  let parsedTarget;
  if (!isNaN(targetStr)) {
    parsedTarget = Number(targetStr);
  } else if (targetStr.startsWith('"') && targetStr.endsWith('"')) {
    parsedTarget = targetStr.slice(1, -1);
  } else {
    parsedTarget = targetStr;
  }

  // 执行预定义的比较操作
  switch (operator) {
    case '!=': return currentValue != parsedTarget;
    case '==': return currentValue == parsedTarget;
    case '>': return currentValue > parsedTarget;
    case '<': return currentValue < parsedTarget;
    case '===': return currentValue === parsedTarget;
    case '!==': return currentValue !== parsedTarget;
    default: return false;
  }
}

// 测试示例
const originalObject = { properties: { phone: '123456789' } };
const logicFromCMS = "user.properties.phone.length != 10";
console.log(evaluateLogic(originalObject, logicFromCMS)); // 输出 true

安全说明：仅解析并执行预定义的语法，完全不执行任意动态代码，安全性最高，但需要根据业务需求扩展支持的运算符和语法（如逻辑与/或、数组操作等）。

方案三：使用成熟的第三方安全表达式库 #

如果需要支持复杂逻辑且不想自己写解析器，可以选择维护良好的第三方表达式解析库（如expr-eval），这类库会在沙箱环境中解析执行表达式，天然隔离全局资源。

// 需先安装依赖：npm install expr-eval
const { Parser } = require('expr-eval');

function evaluateLogic(obj, logic) {
  const parser = new Parser();
  const expression = parser.parse(logic);
  
  try {
    // 仅传入目标对象作为执行上下文
    return expression.evaluate({ user: obj });
  } catch (error) {
    console.error('逻辑验证失败:', error);
    return false;
  }
}

安全说明：专业库会处理表达式的安全解析，避免代码注入，同时支持丰富的逻辑语法，适合复杂场景。

内容的提问来源于stack exchange，提问作者majestiq