JavaScript：不使用eval解析字符串中单个变量的最优方案

嘿，这个问题问得特别实在——毕竟eval的安全隐患早就被吐槽烂了，尤其是当你的字符串可能来自用户输入或者其他不可信来源的时候，用它简直是给自己埋雷。针对解析单个变量这个场景，其实有几个既安全又好用的方案，我给你拆解一下：

方案1：正则表达式替换（适合带占位符的字符串） #

如果你的字符串是类似"当前用户是{username}"或者"余额为${balance}"这种带占位符的格式，正则替换是最稳妥的选择。核心思路就是匹配字符串里的变量占位符，然后从你预先定义的可控上下文对象里取出对应的值，全程不涉及任何代码执行，安全度拉满。

举个例子：

// 先把所有允许访问的变量放在一个上下文对象里，避免全局污染
const context = {
  username: "Rob",
  balance: 1250.50
};
// 你的目标字符串
const originalStr = "您好，{username}！您当前账户余额为${balance}元";

// 根据占位符格式写正则，这里匹配{xxx}和${xxx}两种格式
const parsedStr = originalStr.replace(/\${?(\w+)}?/g, (match, varName) => {
  // 检查上下文里是否存在这个变量，不存在就保留原占位符避免混乱
  return context[varName] ?? match;
});

console.log(parsedStr); // 输出：您好，Rob！您当前账户余额为1250.50元

方案2：直接属性访问（适合纯变量名字符串） #

如果你的字符串就是单纯的变量名（比如字符串内容就是"username"），那更简单——直接通过对象的属性访问来取值就行，完全不需要复杂的解析逻辑。

示例代码：

const context = {
  username: "Rob",
  email: "rob@example.com"
};
// 存储变量名的字符串
const varNameStr = "username";

// 安全取值，先判断变量是否存在
const value = context.hasOwnProperty(varNameStr) 
  ? context[varNameStr] 
  : "未知变量";

console.log(value); // 输出：Rob

重要提醒 #

• 千万别图省事用window[varNameStr]这种全局对象访问方式！除非你100%确定字符串来源绝对安全，否则恶意字符串可能会让你意外访问到全局敏感变量（比如window.location），甚至触发危险操作。
• 如果你的占位符格式特殊（比如用{{var}}或者@var），只需要调整正则表达式的匹配规则就行，核心逻辑都是从可控的上下文里取值，杜绝任意代码执行的风险。

内容的提问来源于stack exchange，提问作者Rob