ES6 模板语句与 eval()

Question

我正在考虑对文本字符串中的${something} 变量进行独立解析，对它们执行eval() 并在结果字符串中替换。

是否有任何特定于 ES6 模板变量需要注意的地方？是什么让它们的行为与标准 eval() 的行为方式不同？

例子：

var value = // a string, number, object,... anything;

var a = `${value}`; // use ES6 template string
var b = '${value}'.replace('${value}', eval(value));

a 和 b 的结果在哪些方面以及为什么会有所不同？

Answer 1

考虑这个例子：

var a = 'test';

var str1 = `${a} ${a} ${a}`; //test test test
var str2 = '${a} ${a} ${a}'.replace('${a}', a); //test ${a} ${a}

另外，请考虑以下事项：

var str1 = `${Math.random()} ${Math.random()}` //0.7818185299239435 0.8991473634359528
var str2 = '${Math.random()} ${Math.random()}'.replace('${Math.random()}', Math.random()); //0.9327690218686401 ${Math.random()}

请记住，${...} 中的任何内容都将被评估为代码，其结果将用于字符串中。

您可以争论使用正则表达式之类的，但也可以考虑一下：

var str1 = `${5+`${Math.random()}`}`; //50.11300474012906858

是的，模板字符串可以嵌套！你会如何处理替换？

---

所以，在一个小列表中：

• 将评估所有内容
• 模板字符串可以嵌套
• 结果将是字符串的一部分
• 执行结果可能会有所不同

这就是区别。

---

您可以询问安全性。嗯，它的危险性不亚于var a = eval('str') 或var a = Function('return str')()。

但是，有一个转折点：它将在返回值上运行.toString()。最小的可验证示例如下：

alert(`${{}}`) // calling alert`${{}}` will only show ","

如果您设法以这种假设的方式使用您的方法：

alert('${R}'.replace( /\$\{(\w[\w\d]*)\}/g, (_, v) => eval(v)));

你比较安全*！ ^{相对无所谓}

但是，对于eval 和window.eval，要非常小心！！！

这是一个例子：

window.R = {
    toString: _ => 'evil'
};
(window => {
    var R = 'nice';

    //Using evil! erm ... eval()
    alert('${R}'.replace( /\$\{(\w[\w\d]*)\}/g, (_, v) => eval(v)));

    //Using MOAR window.evil! erm ... window.eval()
    alert('${R}'.replace( /\$\{(\w[\w\d]*)\}/g, (_, v) => window.eval(v)));

    //String templates
    alert(`${R}`);

})(window)

它应该显示“nice, evil, nice”。这意味着window.eval 在全局范围内运行，而eval 在本地范围内运行。除了eval() 已经存在的安全问题之外，这是我看到的唯一安全问题。

简而言之，您的方法将与使用字符串模板一样安全。