JavaScript中安全解码C风格字符串转义序列的非eval方案

在网页场景中，用户输入字段生成了包含C风格转义序列（如\n、\t等）的字符串，需要以安全规范的方式解码这类字符串。多数文本处理语言可通过字符串格式化函数完成，既能替换转义字符，还支持键值对变量替换；但在JavaScript里目前只找到用eval的实现，可eval存在安全风险，因此想找一个不用手动实现所有JS字符转义规则、能替代eval的最优方案。

代码示例 #

"use strict";
// 简化的JS函数示例
function someButtonClicked() {
  // 用户输入类似这样的内容：\n\tLine Two, with a tab\nLine Three
  var userInput = document.getElementsByName("TextBox")[0].value;
  // 等效示例...
  var userInput = "\\n\\tLine Two, with a tab\\nLine Three";
  // 期望结果：把输入里的转义序列解析成真实字符
  var parsed = "";

  // 除了eval()就没有别的办法了吗？
  var DesiredResult = "\n\tLine Two, with a tab\nLine Three";
  // 上面的转义序列在脚本初始解析时会被转换成真实字符，得到多行结果字符串

  // 我想实现类似C语言中这段代码的效果
  // char parsed[strlen(userInput)] ; snprintf(parsed, strlen(userInput), userInput)
  // 执行后 parsed = "\n\tLine Two, with a tab\nLine Three"
  // 注：转义字符被解码为真实字符

  // parsed必须在函数上下文内赋值，不能是全局上下文...
  // 搜了很多资料也试了很多方法，最后只找到了eval :(
  eval("parsed = `" + userInput + "`")

  console.log("期望结果（3行）:\n", DesiredResult, "\n\neval()执行结果（3行）:\n", parsed, "\n\n", DesiredResult === parsed);
}

替代eval的安全方案 #

方案1：利用JSON.parse #

JSON的转义规则和C风格转义高度重合，通过构造合法JSON字符串的方式解码，安全且无需手动实现规则：

function decodeEscapes(str) {
  try {
    // 转义原字符串中的反斜杠和双引号，避免破坏JSON结构
    return JSON.parse('"' + str.replace(/\\/g, '\\\\').replace(/"/g, '\\"') + '"');
  } catch (e) {
    // 解析失败时返回原字符串（比如输入非法转义序列）
    return str;
  }
}

// 使用示例
var parsed = decodeEscapes(userInput);

该方法能处理绝大多数常见转义序列（\n、\t、\r、\\等），完全不会执行任意代码，安全性拉满。

方案2：使用Function构造函数（比eval更安全，但需谨慎） #

如果需要支持更多JS特定转义（比如\xHH、\uXXXX），可以用Function构造函数创建返回模板字符串的函数，相比eval它不会污染当前上下文：

function decodeEscapes(str) {
  try {
    return new Function(`return \`${str}\``)();
  } catch (e) {
    return str;
  }
}

注意：若用户输入包含模板字符串插值（比如${恶意代码}），仍会执行代码，所以仅当输入完全可信时使用，优先选方案1。

方案3：手动实现转义解析（最可控） #

如果需要自定义解析规则，或担心前两种方案的局限性，可手动实现转义序列替换：

function decodeEscapes(str) {
  return str.replace(/\\([nrtbf\\"]|u[0-9a-fA-F]{4})/g, function(match, escape) {
    switch(escape) {
      case 'n': return '\n';
      case 't': return '\t';
      case 'r': return '\r';
      case 'b': return '\b';
      case 'f': return '\f';
      case '\\': return '\\';
      case '"': return '"';
      default: // 处理Unicode转义 \uXXXX
        return String.fromCharCode(parseInt(escape.slice(1), 16));
    }
  });
}

该方案完全可控，无安全风险，但需要自行覆盖所有需要支持的转义规则，适合对解析逻辑有特殊要求的场景。

内容的提问来源于stack exchange，提问作者Michael J. Evans