JavaScript中eval()与Function()执行字符串表达式的差异及eval替代方案咨询

你遇到的语法错误是手动拼接return到代码开头导致的语法非法，和Function本身的能力无关：

• eval()的逻辑是直接解析执行传入的完整代码字符串，支持包含多条语句、变量声明、循环等完整JS语法结构，所以你的代码可以正常运行。
• 你使用Function("return " + string_expression)()时，相当于生成的函数体为return var sum = 0;\nfor(...)...，return关键字后直接跟随var声明语句，不符合JS语法规范（return后只能跟随表达式，不能跟语句声明），因此抛出语法错误。

如果直接使用new Function(string_expression)()调用，不需要拼接多余的return，这段代码就可以正常执行，和eval的执行效果一致。如果你需要获取代码执行后的结果（比如示例中的sum值），只需要把return语句拼接到代码末尾即可：

const runCode = new Function(string_expression + ';return sum;');
const result = runCode(); // 即可获取sum的最终值

二者本身的设计定位有区别，并不是完全对等的替代关系：

• 作用域权限不同：eval执行时会继承当前调用上下文的作用域，可以访问当前作用域内的所有局部变量，安全风险更高；new Function生成的函数只能访问全局作用域，无法访问生成函数时所在的局部作用域，安全性相对更高。
• 适用场景不同：eval适合需要访问当前上下文变量的动态执行场景，Function更适合独立逻辑的动态代码执行。

根据你的使用场景可以选择不同方案：

• 如果执行的代码是可信来源（比如自身业务生成的代码、无用户输入注入风险）：直接使用new Function(待执行代码字符串)()即可，既可以避免eval的作用域泄露风险，也能满足你的执行需求。
• 如果需要执行不可信的用户提交的代码，需要做完全的上下文隔离：
  • 浏览器环境可以使用带sandbox属性的iframe执行动态代码，通过iframe通信获取执行结果，避免动态代码访问当前页面的DOM、Cookie等敏感数据。
  • 可以使用纯JS实现的沙箱解释器，在内存中模拟JS执行环境，完全和宿主环境隔离，避免代码逃逸风险。

内容的提问来源于stack exchange，提问作者Cybernetic