Hacer sandbox alrededor de Function() en Javascript

Question

¿Puedo limitar el acceso de una función generada por cadenas (utilizando el constructor de funciones) a los ámbitos principales/globales?

Por ejemplo: el siguiente código, como está, imprime falso, porque la función está almacenando/modificando la variable a en la ventana.

window.a = 4; 
Function("a=3;")() 
console.log(a === 4); 

¿Podría restringir el acceso a la ventana de alcance/padre y hacer que imprima "verdadero"?

Answer 1

No lo creo. Usted podría nombrar las variables globales que desea proteger en los parámetros para que ellos sombra:

window.a = 4; 
Function("a", "a=3;")() 
console.log(a === 4); 

Pero la función que va a tener acceso a lo global, no importa lo que intente ... es por eso que se llama global.

Dependiendo de lo que esté tratando de hacer, hay otras soluciones alternativas, como los trabajadores de la web ... y como siempre, hidden iframe hacks.

Answer 2

@ La respuesta de Esail es correcta. Además, recomendaría limitar el número de variables globales que debe proteger en primer lugar. Poner cualquier cosa que normalmente poner en el espacio de nombres global en un ámbito APP que el control de:

var APP = (function() { 
    return { 
     a: 4 
    }; 
}()); 

No hay manera de limitar totalmente el acceso al ámbito global, pero al menos de esta manera sólo se necesita para proteger un objeto : APP.

Answer 3

Aquí hay una idea adicional que podría ser bastante poderosa junto con la propuesta de Esailija (ver los comentarios sobre su respuesta para la discusión).

Puede crear un iframe ficticio y usar su función Function. La función creada con eso solo tendrá acceso al alcance del iframe de manera predeterminada, aunque aún podría salir de él. Afortunadamente es fácil evitar eso, por cierto sugirió Esailija.

me podía imaginar la función que ser así:

function sandboxed(code) { 
    var frame = document.createElement('iframe'); 
    document.body.appendChild(frame); 

    var F = frame.contentWindow.Function, 
     args = Object.keys(frame.contentWindow).join(); 

    document.body.removeChild(frame); 

    return F(args, code)(); 
} 

DEMO

Opcionalmente es posible que desee anteponer 'use strict'; al código.

---

Esto funciona, al menos en Chrome. Si la función creada de esta manera tiene acceso al ámbito global del marco flotante o el alcance global de la página se puede probar fácilmente con:

(function() { 
    var frame = document.createElement('iframe'); 
    document.body.appendChild(frame); 
    var same = window === frame.contentWindow.Function('return window;')(); 
    alert(same ? ':(' : ':)'); 
    document.body.removeChild(frame); 
}());