有没有一种安全的方法可以在网页中运行eval，并避免它访问页面其余部分的内容？
在网页中运行eval函数存在一定的安全风险，因为它可以执行任意的JavaScript代码，包括访问页面的其他部分内容。然而，为了确保安全性，可以采取以下方法来限制eval函数的访问范围：
- 使用沙箱环境：将eval函数运行在一个受限制的沙箱环境中，以限制其访问页面的其他部分内容。沙箱环境可以通过JavaScript的iframe或Web Worker来实现。通过将eval函数运行在沙箱中，可以防止其访问页面的全局变量和函数。
- 使用严格模式：在eval函数执行之前，将JavaScript代码包裹在严格模式下的函数中。严格模式可以通过在代码开头添加"use strict"来启用，它会禁用一些不安全的JavaScript特性，从而提高代码的安全性。
- 输入验证和过滤：在使用eval函数之前，对输入的代码进行严格的验证和过滤，确保只有合法的代码被执行。可以使用正则表达式或其他方法来检查代码中是否包含危险的字符或语句，以及是否符合预期的格式。
- 使用安全的替代方案：尽量避免使用eval函数，可以考虑使用其他安全性更高的替代方案，如Function构造函数、setTimeout、setInterval等。这些方法可以动态地执行代码，但相对于eval函数来说，它们的安全性更高。
需要注意的是，虽然上述方法可以增加eval函数的安全性，但并不能完全消除其潜在的风险。因此，在实际开发中，应尽量避免使用eval函数，或者仅在确保输入的代码来源可信的情况下使用。
相关·内容
2回答
PHP函数eval()似乎是一个相当有趣的函数。有人能解释一下为什么它在这个给定的情况下工作吗，在线: 14
function Parse($inFrontEnd)
{
// Now create an array holding translation tokens with some from above
// Load translation table into buffer
$tableLines = file(Utilities::GetRelativePath(TTABLE_DIR).TTABLE); // Array of lines fr
浏览 4提问于2011-03-12得票数 0
回答已采纳
我想从php-script获得的页面包含ajax。所以当我这样做的时候: file_get_contents($url)；
我只接收javascript的内容。
有没有可能得到执行了所有ajax的页面？
浏览 0提问于2012-01-26得票数 0
回答已采纳
1回答
我们有一个HTTPS网站，我需要显示一个HTTP网站(任何外部网站)到我的网页。该网站使用iframe来显示它。我们意识到它在mozilla中不起作用。我们得到了一个“混合内容”错误。我正在寻找一种替代iframe的方法。我知道绕过安全警告是没有意义的。我们也不想更改任何浏览器设置，因为可能所有用户都没有更改浏览器设置的权限。使用像<embed>这样的标记或者在<div>标记中重定向也会带来同样的问题。
有没有办法在C#代码中做到这一点，而不使用HTML和脚本。
Response.redirect()在我们的应用程序中不起作用。如果页面被重定向，我没有问题，但我更喜欢外
浏览 5提问于2016-04-06得票数 1
回答已采纳
有没有办法在来自不同安全域的iFrame上运行书签小程序并进行导航？
例如，我有一个从加载的页面，它有一个源设置为的iFrame。当我运行书签小程序时，它总是运行on example.com，因为它是主页面。不过，我想在另一个iFrame上运行它，并能够导航。
否则，除了Iframe之外，还有没有其他的解决方案可以实现，因为我被要求在我的主网站上加载一个带有一些链接的外部安全网页，并让书签和导航正常工作。
浏览 3提问于2012-01-18得票数 0
我正在尝试在一个扩展中使用libsodium.js库，到目前为止，我只在Chrome上进行了测试(目前版本为71)。
到目前为止，它在标准的网页上下文中工作得非常完美，但是当我尝试在扩展中加载它时，我会得到一个错误。无论它是作为脚本加载的，还是我在清单中定义了一个页面，并将它作为惟一的脚本，并使脚本异步(与浏览器页面中的脚本完全相同)：
<script src="dist/browsers/sodium.js" async></script>
我只得到相同的错误，在扩展，而不是网页。错误是：
TypeError: s不是一个函数
据我所知，在页面
浏览 2提问于2018-12-14得票数 1
回答已采纳
我正在研究一种将web视图控制器加载到iOS应用程序中的方法，这样网页就可以将数据传回给父程序。
这与SFSafariViewController是可能的吗？有没有像后消息这样的机制，可以让我把数据发送回本地应用程序？
注意:我使用SFSafariViewController非常重要，因为我还需要web视图来持久化/与Safari共享cookie。
浏览 3提问于2016-02-02得票数 4
回答已采纳
出于某种原因，我有一个恰好是python内置函数/方法的字符串列表。例如，somelist = ['list', 'insert', 'append'] 我有一些数据，比如现在的data = 'I am a cat'，我想从somelist对data执行一个操作。例如，list(data) 如果我尝试从somelist[0]建立索引，我得到的是str对象'list'。但我想要关键字list。 有没有办法把str对象转换成keyword datatype？(是否有用于keywords的数据类型？)
浏览 20提问于2021-07-11得票数 1
回答已采纳
我尝试创建一个带有“添加到主屏幕功能”的网页应用程序，当用户将网页应用程序添加到他的主屏幕时，然后，我在我的HTML中使用window.location.href来调用一个新页面，一切都如预期的那样工作，但是url甚至在独立模式下也能显示出来。这是即使在独立模式下也显示的url的屏幕截图。
浏览 0提问于2017-06-23得票数 0
1回答
有没有办法让手机网页变得安全？(加密或某种确保信息安全的安全方法)
我听说移动web开发环境与正式的web开发有很大的不同。
我想使一个移动网页安全与移动网络标签(HTML)，如果可能的话。
或者使用服务器端方式(PHP)来保证页面安全的任何建议？
浏览 0提问于2011-08-14得票数 0
回答已采纳
我想创建一个Google Chrome扩展，可以获取远程javascript (通过HTTPS)并在网页上执行它(从扩展沙箱中)。基本上，脚本解析页面并生成数据，然后我可以将这些数据发送回我的远程服务器。
我想这样做的原因是因为我在Firefox中有一个类似的扩展，我希望尽可能统一代码库。我已经知道如何在火狐中使用XmlHttpRequest和他们的evalInSandbox函数来做到这一点。
这在Chrome中是可能的吗？似乎我不能在Chrome中使用XmlHttpRequest，因为它只允许XML或有效的JSON (不包括函数)。我也不能简单地在页面上插入脚本标记，因为那样它就不会在扩展沙
浏览 5提问于2010-08-12得票数 2
4回答
我想知道有没有什么办法可以在我的网页中再做一个浏览器。基本上，我希望这个浏览器是我的网页上的一个交互式区域(大约半个页面)。
主页应该能够检测到在迷你浏览器中每一次点击的位置。
有没有一些apis可以帮我解决这个问题？或者我最好的选择就是流式传输一个远程桌面？
浏览 0提问于2010-09-22得票数 2
回答已采纳
3回答
我有一个网站，只有拥有管理员特权的用户才能查看某些页面。当我登录到我的管理员帐户时，设置了$_session["is_admin"] = true。然后，在我只希望拥有管理员权限的用户能够查看的页面上，我检查is_admin是否为真，否则将它们重定向到索引页面。
在这种情况下，if(!$_SESSION["is_admin"]){ //redirect to index.Php}有没有更好的保护网页的方法？
谢谢
浏览 0提问于2013-04-15得票数 4
回答已采纳
4回答
是否可以进行chrome扩展，以维护比特币钱包，同时使网络商店更容易集成一键购买体验。
假设点击了网页上的一个按钮。有没有可能触发对chrome扩展的函数调用来发送比特币？
显然，让网页不受限制地访问chrome扩展是永远不会被设计出来的。但是有没有什么方法可以让它安全地工作呢？
浏览 2提问于2011-12-27得票数 16
回答已采纳
ajax请求返回一个标准的JSON数组，其中填充了我的用户的输入。输入已经过清理，使用eval()函数，我可以轻松地创建javascript对象并更新我的页面...
这就是问题所在。无论我多么努力地清理输入，我都不愿使用eval()函数。我在谷歌上查过如何使用"JSON in AJAX without eval“，并且运行了一堆不同的方法……
我应该使用哪一个？有没有一种标准的、经过验证的安全方法来做到这一点？
浏览 0提问于2009-03-14得票数 22
回答已采纳
1回答
我想用NW.js构建一个应用程序，它将帮助用户自动填写表单(json文件在机器上)。我希望添加一个按钮到任何网页由webkit浏览器加载，但来自桌面应用与IE ActiveX，我有点迷路了，我可以挂钩我的功能，注入一个“填充”按钮在任何网页加载。
浏览 8提问于2016-01-05得票数 0
回答已采纳
3回答
我正在使用gridview中的LinkButton在单击该LinkButton时打开弹出窗口。然而，弹出窗口会出现一秒钟，并在页面加载时消失。我想避免页面加载。我不能使用直接链接，因为它会影响我的网页中的其他功能。请帮帮忙。提前感谢
<asp:TemplateField>
<ItemTemplate>
<asp:LinkButton ID='lnkAbsent' OnClientClick='<%#"showModalPopup("+Eval("Category_ID")+
浏览 15提问于2017-01-16得票数 1
回答已采纳
我正在尝试创建一个网页的查看计数功能。为此，我创建了一个新属性，并从生成了一个跟踪id。
有没有一种方法可以使用那里的页面访问数据，并将其显示在我正在跟踪的同一页面上？
浏览 0提问于2018-05-20得票数 0
function ...(...){
function queen(){...}
function rook(){...}
}
我想根据变量名调用一个函数。
也就是下棋和检查棋子的动作。
if (piece === "rook") rook();
如果值为"queen“，则调用queen()
可以用吗？
eval(piece+"()");
对于这类事情，在不编写开关语句或if链的情况下，还有其他替代方法吗？
浏览 1提问于2015-04-04得票数 0
回答已采纳
(交叉发布的)
嗨,
我有一个沙箱页面(在我的清单中指定)，它被加载到我的扩展的背景页面的iframe中。在我的沙箱页面中，我想打开一个新窗口并向其中写入内容，即：
var win = window.open()；win.document.write('<p>Hello!')；
这在我的扩展的后台页面和常规网页上都有效，但当从内容脚本或沙箱页面调用时，窗口会打开，但我无法访问win对象(它已定义，但为空-console.log输出"Window {}")。
我认为这是由于同源策略(在沙箱环境中，每个窗口都被赋予了uinque- assume )。然而
浏览 4提问于2013-02-15得票数 0
回答已采纳
我有一个正常工作的应用程序脚本，但我有几个eval()语句来使它工作。我真的不明白为什么"eval是邪恶的“，因为我一直在读，但我真的不明白的是，当它是唯一能做我需要它做的事情时，如何避免使用它。
在我的脚本中，我有一堆产品。每种产品都有自己的属性数组。还有一个包含所有数组名称的数组。当我运行不同的函数时，这些数组用于构建页面内容。我发现唯一有效的方法是这样做：
var schedule = {};
$.each(productNameArray, function (i, name) {
schedule = eval(name);
// DO STUFF
});
浏览 3提问于2010-08-11得票数 3
回答已采纳
1回答
我有一个iFrame与自定义的网页加载到它。我正在试图找到一种方法，以获得的词或文字，鼠标按住它在页面上使用JS。为了更清楚地说明，当鼠标按在网页上的某个特定单词上时，我想在JS中执行一些操作。
我该怎么做这张支票？我对网页内容没有控制权，我可能会在StackOverFlow中加载这个iFrame问题，如果用户点击这个粗体的单词，我想在JS中执行一些操作。
有什么想法吗？
浏览 4提问于2011-08-15得票数 1
回答已采纳
有没有什么方法可以返回给定URL的网页的标题？
我指的不是当前页面的标题，它可以通过document.title获得，我的意思是获得另一个网页的标题。
浏览 0提问于2012-06-08得票数 3
我有一个php页面，它从一个文件中读取：
$name = "World";
$file = file_get_contents('html.txt', true);
$file = file_get_contents('html.txt', FILE_USE_INCLUDE_PATH);
echo $file;
在html.txt中，我有以下内容：
Hello $name!
当我去网站，我得到“你好$name!”而不是你好世界！
有没有办法让txt文件中的var输出它们的值而不是它们的名称？
谢谢你，布莱恩
浏览 4提问于2013-09-16得票数 0
回答已采纳
我有一个基于url路径过滤的网页。地址是这样的：
www.xxx.com/player-profile/?ID=130
使用ID字段对页面进行筛选，如下所示：
$playerid = $_GET['ID'];
$result = mysql_query("SELECT * FROM tblPlayers Where lng_RecordID_PK LIKE ".$playerid."");
我想确保这段代码没有任何安全问题。我想可能有人想要篡改网址。有什么建议吗？
浏览 2提问于2012-01-08得票数 2
回答已采纳
3回答
我在网页上显示地图。整个站点都使用https。当您在https页面上显示非https内容时，浏览器会抱怨。
有没有办法获得REST here地图图像的https url？
浏览 8提问于2013-06-28得票数 0
有人知道我会怎么做这样的事情吗？
我有一个文本区域设置，允许用户编辑页面内容。然后，内容被存储在数据库中，并且由html模板中的php在前端检索。类似于：
<html>
yada yada...
<?php
echo get_page_contents_by_id($_GET['id']);
?>
yada yada...
</html>
它们都运行在一个.php文件中，以防任何人想要调用它。
我想知道的是，由于我是通过php从数据库中获取内容的，有没有什么方法可以在不进行任何类型的文件写入的情况下检索这些内容中的php代码并仍然运行它。
浏览 0提问于2009-12-03得票数 1
回答已采纳
我的Windows Phone 7应用程序中有一些静态网页。然而，对于指向web上非本地站点的链接，能够启动web浏览器，即调用WebBrowserTask，这将是非常有用的。另外，考虑到WebBrowser控件嵌入在XAML页面中，如果我能(例如通过javascript )从WebBrowser控件中调用页面上的行为，那就太好了。
这个是可能的吗？
浏览 0提问于2012-11-22得票数 0
我有一个应用程序，有一个页面闪光过的IFrame，让你在网页上绘制。当我使用应用程序访问Facebook时，一个覆盖图以50%的不透明度弹出，覆盖了所有内容(这很好)。问题是在IE7的某些安装中，覆盖全是黑色的。有没有人能建议如何解决这个问题？
下面是我的代码：
<iframe name="test" ID="test" src="http://www.facebook.com/cyberkruz" height="200" style="width: 100%; height: 100%" allowtra
浏览 0提问于2010-03-13得票数 3
回答已采纳
2回答
我想加载一个不同的音频文件，点击不同的文本在网页上。我使用以下jQuery函数：
var audio = document.createElement('audio');
$(".text_sample").on("click", function() {
audio.src = eval(this.id);
audio.play();
});
<script src="https://ajax.googleapis.com/ajax/libs/jquery/2.1.1/jquery.min.js"&
浏览 3提问于2017-10-24得票数 0
回答已采纳
2回答
我想在Android中预加载一个网页。该网页包含文本和图形元素。该网页将在将来显示在尚未创建的活动中。
据我所知，例如，WebView必须绑定到一个活动，因此不可能使用WebView来完成此任务。
有没有什么不需要解析html页面并“手动”下载所有元素的建议？
浏览 0提问于2013-02-18得票数 16
回答已采纳
我正在开发一个恩约网络应用程序，并希望允许用户在浏览器中编写他们的Javascript代码并执行它。
我可以通过使用window.eval来做到这一点。然而，我读到过eval的坏处。
有没有人可以解释一下像、等这样的例子在浏览器执行中是如何安全的，以及最佳实践是什么？
浏览 0提问于2012-04-19得票数 2
回答已采纳
电子反应打字应用程序的内容安全策略是什么？我甚至不使用“不安全评估”，我得到了一个错误。下面是我尝试过的一些内容安全策略，并收到了上面的错误消息。
--> -->
浏览 4提问于2022-01-17得票数 -1
我有iOS原生应用程序，需要显示来自脸书粉丝页面的故事，目前我必须强制用户登录到脸书抛出我的应用程序来查看页面帖子，有没有办法让他们看到帖子而不强制他们登录？特别是该网页是公开的，我可以从任何网页浏览器打开它，而无需登录。
浏览 2提问于2016-02-18得票数 0
我接管了一个显示很多好东西的“仪表板”应用程序。
显示的内容之一是由第三方网页的内容填充的div (它会自动刷新自己的内容)。不幸的是，导入的第三方网页中的javascript会影响/刷新它所在的整个页面。
有没有一种方法可以在我自己的页面上显示第三方页面的内容，同时用沙箱保护它，以防止它访问/影响它所在的页面？
浏览 5提问于2011-09-16得票数 0
回答已采纳
2回答
一个问题，假设我的网页上有一个Admin目录，我想对目录中的每个页面使用HTTPS，那么实现这一目标的最好方法是什么？
谢谢
浏览 0提问于2011-10-08得票数 2
回答已采纳
1回答
有没有办法将本地网页上的cookie保存为文本文件？我有一个本地网页，里面有一些文本数据，我可以保存这些文本的唯一方法是使用cookie。我已经尝试过用activeX对象创建一个文本文件，但它只在IE上可用。有没有更好的办法？
Updaet:我用过这段代码，但它在IE中不起作用
function download(filename, text) {
var pom = document.createElement('a');
pom.setAttribute('href', 'data:text/plain;charset=utf-8
浏览 1提问于2016-02-22得票数 0
1回答
我试图为我的Django应用程序设置缓存，但看起来Django的缓存框架是基于TIMEOUT的:设置一个缓存，它将在TIMEOUT秒数内保持有效。
在大多数情况下，这似乎是非常无用的。大多数网页都会有一些用户贡献的内容，如评论或投票或论坛帖子。超时缓存机制在那里不起作用。需要的是使缓存失效的方法:当用户提交评论或投票时，该页面的缓存需要失效。
在Django中有没有办法做到这一点？如果没有，如何缓存Django应用程序生成的页面？
谢谢。
浏览 3提问于2011-04-03得票数 1
回答已采纳
在django、apache、python和mysql中运行的应用程序：
我想创建全局变量，我应该能够从外部python脚本使用cron作业进行更新。
我想到的解决方案是...有一个网页更新了这个变量，然后通过python脚本调用它。
有没有更干净的解决方案？
浏览 3提问于2009-11-23得票数 0
回答已采纳
1回答
从文本文件解释文字HTML标记
、、、、
我正在使用Jinja2模板的烧瓶来构建一个静态网页。我正在从.txt文件中获取页面文本。我想要做的是从.txt文件中传递文本HTML标记，并在DOM中对其进行解释。目前，它所代表的文本是字面意义上的，如果我查看页面源，标签就会用转义字符来解释。
文本
The map uses the <a href="google.com">Google</a> API.
<p>{{ text }}</p> <!-- text above goes here -->
锚标记并不表示为HTML标记，而是如下所示：
<a
浏览 4提问于2020-05-24得票数 1
回答已采纳
我对本教程中用于在上面列出的页面上创建登录页面和数据库的三行特定代码感到困惑。
if (!get_magic_quotes_gpc()) {
$_POST['email'] = addslashes($_POST['email']);
}
为什么她要摆弄$_POST‘’email‘的值，而它甚至都不在输入框中？
编辑：
我仍然找不到电子邮件的输入框，我甚至复制并粘贴了整个网站。我还是找不到一个写着电子邮件的盒子。
浏览 2提问于2011-05-13得票数 0
回答已采纳
1回答
我在我的网站上有一个页面。它由vimeo视频组成。我们将vimeo视频嵌入到页面的iframe中。
但它显示了一个安全警告，声明“您是否只想查看安全交付的网页内容?”
有没有办法避免这种情况？
浏览 1提问于2013-03-07得票数 1
回答已采纳
我想让W3C通过我的网页安全，在我有会员页面的那一刻，
if (!isset($_SESSION['logged'], $_SESSION['layout'])) {
header('Location ...............');
.............
}
每当我动态添加链接到我的网页，以便能够检查它时，显然我的页面会将检查器重定向回注册页面。有没有一种方法可以告诉我请求是来自W3C html5一致性检查器，
if (isset($_POST['W3Cchecker'])) {
let
浏览 1提问于2012-02-22得票数 0
回答已采纳
2回答
我有一个字符串中的JavaScript代码，它是我根据某些条件(某些用户操作的结果)动态获得的。
现在我想知道是否应该简单地eval它(将工作，测试)，或者我是否应该在DOM中插入一个<script>，其中包含字符串值。XSS风险部分我很清楚(脚本绝对没有使用用户输入的任何内容)。我想知道由于插入<script>标签而引起的范围相关问题(如果有)。
浏览 0提问于2013-03-29得票数 4
回答已采纳
1回答
好了，我已经设置了一个小系统，我可以通过管理面板添加页面，并让它们出现在主站点上。除了在管理面板中制作的html页面，我还得到了大约两个PHP页面，其中包含存储在数据库中的查询。
无论如何，我使用'Eval‘来调用它们，我读到它是不安全的。
虽然它只有html代码从管理面板进入，php代码是不允许的，如果张贴在这些页面上，PHP页面是不可编辑的，除非访问数据库，这样安全吗？
一个PHP页面包含用户注释，但所有HTML和PHP代码都将从表单中删除。我已经测试了一些利用技术，但似乎都没有成功。
但是为了我的目的使用eval是安全的吗？有没有更好的办法呢？
代码：
<?php
浏览 0提问于2014-02-03得票数 0
假设我从一个名为'info.dat‘的文件中读取，该文件包含以下内容：
[{'name': 'Bob', 'occupation': 'architect', 'car': 'volvo'}, {'name': 'Steve', 'occupation': 'builder', 'car': 'Ford'}]
我怎么才能读到这篇文章，并把它变成一个字典列表呢？如果我这样做：
with open(&
浏览 0提问于2013-07-22得票数 1
回答已采纳
我有一个网页的数量，在asp.net开发的网站。我有一个页面URL，如:示例：
1) http://www.xyz.com/Home.aspx
2) http://www.xyz.com/Index.aspx
3) http://www.xyz.com/viewMember?Name=abc&id=1
但最终用户是在任何页面，我想显示的网址，如"http://www.xyz.ie"。
web.config中有什么设置吗？如果没有，有没有其他方法？
请帮帮我。
提前谢谢。贾加迪
浏览 1提问于2013-02-08得票数 0
回答已采纳
3回答
我正在尝试制作一个网页，在页面加载之前要求用户输入密码提示。一旦输入正确的密码，页面将继续加载。如果输入的密码不正确，它会一直要求用户输入密码，直到他们输入正确为止。该网页目前不要求输入密码，直接进入该页面。
HTML：
<html>
<head>
<title>Password Page</title>
<script type="text/javascript" src="password.js"></script>
</head>
<body onload="
浏览 5提问于2014-09-21得票数 1
1回答
我想在我的网站上实施HSTS，我确实有一些网页作为HTTPS和一些网页作为HTTP的要求为基础。我已经给出了添加HSTS的条件，只为HTTPS页面，而不是HTTP页面。
if (HttpContext.Current.Request.Url.Scheme.ToLower() == "https")
{
response.Headers.Add("Strict-Transport-Security",
"max-age=31536000;includeSubDomains; preload");
}
在我添加了这段代码后，
浏览 1提问于2019-06-21得票数 0
有没有办法创建一个完全空的Binding对象，以便与eval一起使用
根据文档，只有Kernel#binding方法可以创建新的绑定。我试过这样的方法：
empty = binding
但是，该绑定在其局部变量中有empty本身，以及代码后面分配的相同作用域中的任何其他局部变量。
我发现常量TOPLEVEL_BINDING是一个空的绑定，它足以满足我当前的目的。不过，情况可能并不总是如此。
有没有办法创建一个全新的、完全空的Binding？
浏览 0提问于2018-05-10得票数 4
回答已采纳
为了在已经打开的web应用程序中处理特殊的URL，我使用了以下方法：
用户在电子邮件中接收一个特殊的URL (警报通知)
该URL使用临时设置会话cookie的JavaScript代码打开一个小助手网页(H)
主web应用程序(M)已经在另一个选项卡/窗口中打开，它能够识别这一点，并在删除 cookie之后处理请求
助手网页(H)认为这是一个成功，现在是无用的，应该关闭。
除了保持打开的助手窗口(H)之外，所有这些都可以正常工作。当然，有一个小文本说：“请现在关闭这个窗口”，但如果它可以自动做到这一点，这将是完美的。
window.close()会导致IE中的确认对话框
浏览 3提问于2012-08-23得票数 2
扫码
添加站长 进交流群
领取专属 10元无门槛券
手把手带您无忧上云
相关资讯
热门标签
云服务器
ICP备案
对象存储
即时通信 IM
实时音视频活动推荐
腾讯云开发者
