如何增强在线考试JavaScript代码的防御性？相关技术咨询

1. 是否有方法查看当前页面上运行的浏览器插件？ #

• 没有通用且可靠的直接方法。浏览器出于安全隐私限制，不允许网页脚本直接访问插件列表。旧版浏览器可能存在可利用的漏洞，但现代浏览器已封堵这类途径。
• 只能通过间接方式检测插件的影响：比如监控DOM的异常修改、全局对象的意外变更、异常网络请求等，但无法直接定位到具体插件。

2. 是否有方法检测当前页面上是否有其他代码在运行？ #

• 可以通过几种间接手段检测：
  • 监控全局作用域变化：定期对比window对象的初始状态与当前状态，排查新增的属性或方法。
  • 利用性能分析API：通过performance.getEntries()查看是否存在异常的脚本加载或执行记录。
  • 监听DOM突变：使用MutationObserver检测页面元素是否被第三方代码意外修改。
• 但这类方法无法覆盖所有场景，恶意代码可通过闭包等隐蔽方式执行，避免被检测到。

3. 当测验的JavaScript对象被覆盖时，将object.toString();修改为String(object).valueOf();能否防止方法被重载从而改变原有代码的行为？ #

• 不能完全避免。如果String构造函数本身被篡改，String(object)的结果也会受影响。
• 相对更安全的方式是调用原生的toString方法，比如Object.prototype.toString.call(object)，但前提是Object.prototype.toString未被篡改。
• 更稳妥的方案是在代码初始化阶段保存原生方法的引用，后续直接使用该引用：

  const nativeToString = Object.prototype.toString;
  // 后续使用
  nativeToString.call(targetObject);
  

4. JavaScript中是否存在无法被重写的运算符？ #

• 存在。部分基础运算符的核心逻辑无法被重写：
  • 严格相等运算符：===和!==直接比较值的类型与内容，不会调用对象的自定义方法，其逻辑无法被篡改。
  • 基础算术运算符：当操作数为原始值时，+、-、*、/等的运算逻辑无法被重写；但如果操作数是对象，会触发其valueOf或toString方法，这些方法可能被篡改。
• 注意：instanceof、in等运算符的行为可能被对象的Symbol.hasInstance等属性影响，但基础的严格相等、原始值算术运算的核心逻辑不可被重写。

内容的提问来源于stack exchange，提问作者user802599