Javascript 沙箱？

Question

是否可以通过覆盖alert、window.location 和eval 等各种函数来对用户提交的 Javascript 进行沙箱处理？

我不是在寻找完美的解决方案。我敢肯定，有些人仍然会找到一种方法来重新排列 div 以拼出脏话或恶意内容，但如果我能够 100% 可靠地禁用页面重定向，我会非常高兴。

我在 Chrome 中尝试过，并做了类似的事情

context={}; //use this to prevent `this` from being `window`
context.f=function(){
  var window=null,location=null,eval=function(){};
  console.log(window); //also the other two
};
context.f();

看起来很有希望。如果我用用户提交的代码替换 console 行(检查 paren 平衡)，这是一个荒谬的坏主意还是一个轻微的坏主意？在 Chrome 上，我仍然可以通过 this 到 Function 并重新定义事物来打破事物，但这对我来说是可以接受的。

Answer 1

您可以使用 Microsoft Web Sandbox或 Google Caja .