如何在Angular项目中正确处理ESLint的detect-object-injection规则

先给你理清楚ESLint为啥把someObject[someDynamicKey] = 'someValue'这种写法标为风险——这个规则核心是防范原型污染。

如果someDynamicKey是用户可控的输入（比如URL参数、表单输入），攻击者可能传入__proto__、constructor这类JavaScript对象原型链上的特殊属性名。一旦你给这些属性赋值，会修改整个原型链上所有对象的行为，比如给__proto__.toString赋值后，所有继承该原型的对象调用toString时都会执行恶意代码，这会引发严重的安全问题和应用异常。

接下来针对你的情况（只能用动态键、没法用白名单），给你两种在Angular里的可行解决方案：

方案1：黑名单过滤辅助函数/服务 #

核心思路是提前拦截掉那些可能引发原型污染的危险属性名，只允许设置安全的键。

第一步：定义黑名单和工具函数 #

先创建一个工具文件，把常见的危险原型属性加入黑名单：

// src/utils/object-safety.ts
// 黑名单包含所有可能用来污染原型的内置属性
const PROTOTYPE_BLACKLIST = new Set([
  '__proto__',
  'constructor',
  'prototype',
  'toString',
  'valueOf',
  'hasOwnProperty',
  'isPrototypeOf',
  'propertyIsEnumerable',
]);

/**
 * 安全设置对象属性，自动过滤黑名单中的键
 * @param obj 目标对象
 * @param key 动态属性键
 * @param value 要设置的值
 */
export function safeSetObjectProperty(obj: Record<string, any>, key: string, value: any): void {
  if (!PROTOTYPE_BLACKLIST.has(key)) {
    obj[key] = value;
  } else {
    // 这里可以根据需求选择处理方式：打印警告、抛出错误或直接忽略
    console.warn(`禁止设置受限制的属性：${key}`);
    // 若需要严格校验，可抛出错误
    // throw new Error(`属性名 ${key} 属于受限制的内置属性`);
  }
}

第二步：在Angular组件/服务中使用 #

把原来的直接赋值替换成这个工具函数：

import { safeSetObjectProperty } from '../utils/object-safety';

// 原来的写法：someObject[someDynamicKey] = 'someValue';
// 替换为：
safeSetObjectProperty(someObject, someDynamicKey, 'someValue');

如果项目中多处需要用到，也可以封装成Angular服务，方便依赖注入和后续扩展：

// src/services/object-safety.service.ts
import { Injectable, InjectionToken } from '@angular/core';

// 用InjectionToken让黑名单可配置
export const OBJECT_PROPERTY_BLACKLIST = new InjectionToken<Set<string>>(
  'OBJECT_PROPERTY_BLACKLIST',
  {
    providedIn: 'root',
    factory: () => new Set([
      '__proto__',
      'constructor',
      'prototype',
      'toString',
      'valueOf',
      'hasOwnProperty',
      'isPrototypeOf',
      'propertyIsEnumerable',
    ]),
  }
);

@Injectable({ providedIn: 'root' })
export class ObjectSafetyService {
  constructor(@Inject(OBJECT_PROPERTY_BLACKLIST) private blacklist: Set<string>) {}

  safeSetProperty(obj: Record<string, any>, key: string, value: any): void {
    if (!this.blacklist.has(key)) {
      obj[key] = value;
    } else {
      console.warn(`拦截到危险属性赋值：${key}`);
    }
  }
}

在组件中注入使用：

import { ObjectSafetyService } from '../services/object-safety.service';

constructor(private objectSafetyService: ObjectSafetyService) {}

// 使用服务赋值
this.objectSafetyService.safeSetProperty(someObject, someDynamicKey, 'someValue');

方案2：使用无原型对象 #

如果你的someObject只是用来存储键值对，不需要继承JavaScript对象的原型方法（比如hasOwnProperty、toString），可以直接用Object.create(null)创建一个没有原型的对象。

这种对象不存在原型链，即使传入__proto__这类键，也只是作为普通属性存储，不会污染全局原型：

// 创建无原型的空对象
const someObject = Object.create(null);

// 直接赋值即可，不会触发ESLint规则（因为不存在原型污染风险）
someObject[someDynamicKey] = 'someValue';

这个方案更简洁，适合纯粹的键值存储场景。

内容的提问来源于stack exchange，提问作者Experimenter