JavaScript 函数构造函数解析安全

Question

在 JavaScript 中使用 Function constructor 时，会根据给定代码动态创建函数对象：

const input = 'return 2 + 3;';   // (1)
const fun = new Function(input); // (2)
const ret = fun();               // (3)

假设输入字符串(1)是任意用户输入，解析它是否不安全(2)，即使它从未被评估过(3 )？

编辑：

我直接从用户输入接收字符串 (1)，例如通过网络。它完全未经过滤，除了假设它是恶意的之外，我无法验证它。我可以在 Function 构造函数周围放置一个 try/catch 以防止解析时出现语法错误，但我对其他安全问题特别感兴趣（修改众所周知的全局变量，例如在 https://haacked.com/archive/2009/06/25/json-hijacking.aspx/ 中）。

Answer 1

应该很安全。 JSON 劫持正是由于这个原因而修复的错误。

解析它只告诉你它是否在语法上有效，没有任何输入的执行。但是，解析在性能方面的成本可能很高，因此如果攻击者控制输入，它可能会被用于 DOS 您的环境。