Chrome 扩展程序拒绝将字符串评估为 JavaScript，因为 emscripten 生成的文件中存在“unsafe-eval”答案

【问题标题】：Chrome extension refused to evaluate a string as JavaScript because 'unsafe-eval' in emscripten generated fileChrome 扩展程序拒绝将字符串评估为 JavaScript，因为 emscripten 生成的文件中存在“unsafe-eval”
【发布时间】：2020-11-05 13:29:42
【问题描述】：

我正在尝试在我的 Chrome 插件中加载一个 wasm 模块。 Chrome 抱怨 emscripten 生成的 wasm 模块中有以下功能。它在以下 js 上跳闸

Uncaught EvalError: Refused to evaluate a string as JavaScript because 'unsafe-eval' is not an allowed source of script in the following Content Security Policy directive: "script-src 'self' blob: filesystem:".

function createNamedFunction(name, body) {
      name = makeLegalFunctionName(name);
      /*jshint evil:true*/
      return new Function(
          "body",
          "return function " + name + "() {\n" +
          "    \"use strict\";" +
          "    return body.apply(this, arguments);\n" +
          "};\n"
      )(body);
    }

我正在将脚本加载到background.html 文件中，以便它可以作为模块运行。 .

<script type="module" src="../js/background.js"></script>
<script type="module" src="../js/AudioWorkletProcessor.js"></script>
<script type="module" src="../js/kernel.wasmmodule.js"></script>

人们如何在他们的插件中使用 Web 组装来解决这个问题？

【问题讨论】：

-s NO_DYNAMIC_EXECUTION=1 工作吗？
@zakki 是的！把它作为我接受的答案！

标签： javascript web google-chrome-extension webassembly emscripten

【解决方案1】：

-s NO_DYNAMIC_EXECUTION=1 从生成的代码中删除 eval() 和 new Function()。

https://github.com/emscripten-core/emscripten/blob/master/src/settings.js#L1030

当设置为 0 时，我们不会发出 eval() 和 new Function()，这会禁用某些功能（如果尝试使用会导致运行时错误），但允许发出的代码在不允许动态代码执行的地方（chrome 打包的应用程序，特权 Firefox 应用程序等）。在开发 Emscripten 应用程序时传递此标志针对特权或经过认证的执行环境，请参阅 Firefox 内容安全政策 (CSP) 网页了解详情： https://developer.mozilla.org/en-US/Apps/Build/Building_apps_for_Firefox_OS/CSP 设置此标志时，以下功能（链接器标志）不可用： --closure 1：使用闭包编译器时，需要 eval() 来定位 Module 对象。 -s RELOCATABLE=1：函数 Runtime.loadDynamicLibrary 需要 eval()。 --bind：Embind 需要 eval()。此外，以下 Emscripten 运行时函数在以下情况下不可用 DYNAMIC_EXECUTION=0 已设置，尝试调用它们将引发异常：

emscripten_run_script(),

emscripten_run_script_int(),

emscripten_run_script_string(),

dlopen(),

函数 ccall() 和 cwrap() 仍然可用，但仅限于能够提前调用已在 Module 对象中导出的函数。

当设置为 -s DYNAMIC_EXECUTION=2 标志时，调用 eval() 的尝试被降级警告而不是抛出异常。

【讨论】：