在独立服务器端执行用户提供的JS代码时使用eval()是否安全？

先给你明确结论：在你描述的用户代码仅在自身独立服务器运行、仅影响自身环境的架构下，eval()的直接安全风险确实比多租户环境小很多，但绝对不能掉以轻心，还是有不少潜在坑，下面给你拆解清楚：

一、潜在风险点 #

• 自身环境的敏感资源泄露/破坏：别以为自己写的代码就不会坑自己——如果用户不小心复制了网上的恶意测试代码，或者自己写错了逻辑，eval()执行的代码能直接调用Node.js的内置模块（比如fs、child_process），读取服务器上的配置文件、执行系统命令，甚至删改本地数据。
• 内网横向渗透风险：如果测试服务器和生产环境在同一内网且未做隔离，eval()执行的代码可能通过内网访问生产服务，造成意外的性能影响或数据泄露。
• 间接代码注入：如果用户的自定义代码里引用了未过滤的外部数据（比如测试API返回的内容），哪怕是自己的环境，也可能触发意外的代码执行，导致测试数据混乱或环境异常。
• 资源耗尽：用户代码如果写了死循环、无限递归，eval()执行后会直接占用服务器CPU/内存，导致测试服务崩溃。

二、替代方案 #

1. 使用Function构造函数 #

比eval()更可控，它能明确指定代码可访问的参数，避免代码随意触碰全局对象：

// 用户编写的断言代码
const userCode = "return response.status === 200 && response.data.length > 0";
// 仅传入允许的参数，限制作用域
const assertFn = new Function("response", userCode);
// 执行代码
const result = assertFn(testResponse);

2. 沙箱化执行环境 #

用专门的沙箱库（比如Node.js环境的vm2）创建完全隔离的上下文，严格限制代码能访问的模块和全局对象：

const { VM } = require('vm2');
// 只暴露用户需要的对象/方法，禁止访问敏感模块
const vm = new VM({
  allowAsync: true,
  sandbox: { 
    response: testResponse,
    fetch: mySafeFetch // 封装后的安全fetch，禁止访问内部资源
  }
});
// 执行用户代码
const result = vm.run(userCode);

3. 预定义模板与有限API #

尽量不让用户写全量JS，而是提供预定义的断言模板（比如下拉选择断言类型、填写条件值），或者只暴露你封装好的安全API（比如assertStatus(code)、loadExternalData(url)），完全避免动态代码执行的风险。

三、使用eval()的安全最佳实践 #

如果一定要用eval()，必须做以下硬限制：

• 严格封闭作用域：用自执行函数包裹eval()，只传入用户必需的变量，绝对禁止代码访问全局对象：

  function runUserCode(userCode, context) {
    // 仅暴露response和安全封装的fetch，屏蔽全局环境
    return (function(response, safeFetch) {
      return eval(userCode);
    })(context.response, context.safeFetch);
  }
  

• 禁用敏感内置对象：在执行前临时覆盖或删除作用域内的敏感对象，比如require、process、global等，确保用户代码无法调用这些资源。
• 静态代码检查：对用户提交的代码做静态分析，禁止出现require、fs、process、new Function这类敏感关键字，以及setTimeout、setInterval这类可能用于逃逸的语法。
• 资源限制：给代码执行设置超时时间（比如5秒），限制内存使用，防止死循环或无限递归耗尽服务器资源。
• 权限隔离：运行用户代码的进程使用最低权限的系统用户，比如创建一个没有读写敏感目录（如/etc、/root）权限的用户，即使代码逃逸也无法破坏关键资源。

内容的提问来源于stack exchange，提问作者PeiSong