内部Web应用管理员自定义数据验证：动态IF语句执行问题求助

问题分析 #

你当前的代码仅将数据库中的验证逻辑赋值给了ifStatements变量，但未添加执行逻辑，且存在变量名拼写错误（console.log(ifStatementLoaded)应为console.log(ifStatements)）。结合你的需求——让管理员通过表单构建验证逻辑并动态执行，以下是安全可行的实现方案。

安全执行动态验证逻辑的实现步骤 #

1. 输入转换与安全过滤

先将管理员构建的自然风格逻辑语句（如age > 18 AND status == 'active'）转换为合法的JS表达式，同时做严格过滤，仅允许预定义的运算符和表单变量：

• 替换AND/OR/NOT为JS原生逻辑符&&/||/!
• 限定变量只能是预定义的表单字段（如formData.age），防止注入全局变量或非法代码

2. 用Function构造器执行逻辑

相比eval，Function构造器拥有独立作用域，安全性更高，适合这类场景。

示例代码：

// 从数据库加载的管理员构建的验证逻辑数组
var ifStatements = <?php echo json_encode($ifStatements); ?>;
// 用户提交的表单数据示例
var formData = {
  age: 25,
  status: 'active',
  score: 80
};

// 遍历并执行每个验证逻辑
ifStatements.forEach(statement => {
  try {
    // 转换逻辑语法并过滤非法变量
    const jsExpr = statement
      .replace(/AND/gi, '&&')
      .replace(/OR/gi, '||')
      .replace(/NOT/gi, '!')
      .replace(/(\w+)/g, (match) => {
        if (formData.hasOwnProperty(match)) {
          return `formData.${match}`;
        }
        throw new Error(`非法变量: ${match}`);
      });

    // 创建并执行验证函数
    const validateFn = new Function('formData', `return ${jsExpr};`);
    const isValid = validateFn(formData);
    
    console.log(`验证结果: ${isValid}`);
    // 这里可添加验证结果的后续处理逻辑（如提示、拦截提交等）
  } catch (err) {
    console.error('验证逻辑执行失败:', err.message);
  }
});

安全加固补充 #

• 对管理员输入的逻辑做前置过滤：仅允许字母、数字、空格、</>/==/!=等指定运算符，以及用于字符串值的单/双引号，禁止任何JS关键字（如function、eval）
• 执行前通过正则校验语法合法性，避免非法逻辑导致页面异常

内容的提问来源于stack exchange，提问作者Kelly Hansen