• Soulock
• 2026年06月01日
• • 技术

JavaScript 动态执行代码：new Function、eval 与 Node.js vm 沙箱

三种方式对比方式 能访问外部作用域 安全性 推荐场景eval() 是 低 几乎不推荐new Function() 否 中 浏览器/Node 通用vm.runInContext() 否（隔离） 高 Node.js 执行用户代码new Function（推荐） // 无参数 const fn = new Function("return 1 + 2"); console.log(fn()); // 3// 带参数 const add = new Function("a", "b", "return a + b"); console.log(add(1, 2)); // 3// 多行代码 const code = ` const x = 10; return x * 2; `; console.log(new Function(code)()); // 20new Function 创建的函数只能访问全局作用域，不能访问创建它时的局部变量——这是它比 eval 更安全的原因。 eval（不推荐） const result = eval("1 + 2"); // 3eval 可以访问当前闭包内的变量，是潜在的代码注入入口，大多数代码规范禁止使用。 注入上下文：with(data) 在表单引擎、规则配置等场景中，需要让动态代码访问对象属性： function runExpression(expr, data) { return new Function("data", `with(data){ return ${expr} }`)(data); }runExpression("price * count", { price: 10, count: 2 }); // 20 runExpression("amount > 100", { amount: 200 }); // truewith(data) 把 data 的属性提升为词法作用域，表达式中可以直接使用属性名。 执行用户脚本（带函数体） 从数据库加载 JS 函数字符串并执行： const scriptStr = ` function check(order) { return order.amount > 100; } `;// 提取函数体，传入参数执行 const fn = new Function("order", ` ${scriptStr} return check(order); `);console.log(fn({ amount: 200 })); // true异步版本：AsyncFunction // 获取异步函数构造器 const AsyncFunction = Object.getPrototypeOf(async function(){}).constructor;const code = ` const res = await Promise.resolve(123); return res; `;const fn = new AsyncFunction(code); fn().then(console.log); // 123Node.js vm 沙箱（服务端执行用户代码） vm 模块提供真正的上下文隔离，适合服务端运行不受信任的代码： const vm = require("vm");// 创建隔离上下文 const context = { a: 1, b: 2, result: 0 }; vm.createContext(context);vm.runInContext("result = a + b", context); console.log(context.result); // 3设置超时，防止死循环： try { vm.runInContext( "while(true){}", context, { timeout: 1000 } // 1秒超时 ); } catch (e) { console.log("超时:", e.message); }完整执行流程： function safeExec(code, data, timeoutMs = 500) { const ctx = { ...data, __result: undefined }; vm.createContext(ctx); vm.runInContext( `__result = (function(){ ${code} })()`, ctx, { timeout: timeoutMs } ); return ctx.__result; }safeExec("return a * b", { a: 3, b: 4 }); // 12vm 模块的局限 vm 不是完全安全的沙箱，能被构造特定代码逃逸（prototype chain escape）。对安全要求更高的场景，使用 vm2 库（已停止维护）或 isolated-vm（推荐）： import ivm from "isolated-vm";const isolate = new ivm.Isolate({ memoryLimit: 64 }); const ctx = await isolate.createContext(); const result = await ctx.eval("1 + 2");