无需文件系统，如何解析前端提交的JS导出脚本字符串？

当前你通过写入文件再require的方式解析客户端脚本，虽然可行但存在额外IO开销。使用vm2可以在内存中直接完成解析，完全规避文件操作。

实现步骤 #

• 安装依赖
  先安装vm2包：

  npm install vm2
  

• 修改Express处理逻辑
  用vm2创建沙箱环境，执行客户端脚本并获取导出对象：

  import { VM } from 'vm2';
  
  const handler = async (req, res) => {
      const inputScript = req.body.script;
      try {
          // 初始化沙箱，模拟Node.js的module.exports环境
          const sandbox = { module: { exports: {} } };
          const vm = new VM({ sandbox });
          
          // 执行用户提交的脚本
          vm.run(inputScript);
          
          // 获取解析后的对象
          const parsedObject = sandbox.module.exports;
  
          // 后续业务处理
          res.status(200).json({ success: true, data: parsedObject });
      } catch (error) {
          // 捕获脚本语法/运行错误
          res.status(400).json({ success: false, error: error.message });
      }
  };
  

注意事项 #

• 安全隔离：vm2的沙箱能有效限制用户代码访问服务器的文件系统、网络等资源，比原生vm模块更安全，但仍需避免向沙箱暴露敏感对象。
• 错误处理：必须捕获脚本执行的异常，防止非法输入导致服务器崩溃。

内容的提问来源于stack exchange，提问作者Tal Rofe