javascript - jsFiddle 如何允许并执行用户定义的 JavaScript 而不会造成危险？

Question

我一直在开发一个 JS 库，并希望在 Github 上设置一个演示页面，例如，允许用户定义自己的回调并执行命令。

我知道“eval() 是邪恶的”，并且我可以看到盲目的 eval() 脚本可能会导致 XSS 和其他安全问题。我正在尝试制定一些替代方案。

我真的很喜欢 jsFiddle 的交互性。我查看了他们的源代码，但希望有人可以在这里列出 jsFiddle 如何允许和执行用户定义的 JavaScript 而不会造成危险。只要它不涉及第三方回显服务器，我希望我可以模仿该方法。

Answer 1

jsFiddle 在单独的域 http://fiddle.jshell.net ( try it and see ) 上执行用户脚本。
因此，它无法与父框架交互，也无法窃取 cookie。

实际上，您可以在没有单独服务器的情况下完成此操作，只需将静态页面放置在单独的域中，该域从 Javascript 中的查询字符串中读取。
您可以使用页面标题进行回复(敌人也可以)。