javascript - Object as dictonary 的安全性真的由标准来保证吗？

Question

var x = Object.create(null);
x["hello"] = "world";

但是我可以允许未经验证的用户输入作为键吗？我想将它用作玩家名称 -> 玩家对象 map 。玩家名称的长度限制为 32。我担心是否有特殊的属性键可以让玩家获得服务器的控制权。

编辑:我不是在制作网络服务器。 JavaScript 将通过嵌入游戏服务器的 SpiderMonkey 在服务器端运行。如果有人劫持了那里运行的 JavaScript，他们可能会破坏游戏。

Answer 1

一句话:不，只要记住Google Docs __proto__ fail

您应该使用类似Hash 的类，或者至少访问这些前缀为:

var hash = {}, key = "something-evil", value = Math.PI;
hash["$" + key] = value;
console.log( hash["$" + key] == value );