从用户输入执行JavaScript的适当方法？

Question

我需要构建一个允许用户输入javascript代码的Web应用程序,然后动态执行代码并以某种方式在同一页面显示结果.流程将是这样的:

在网页中,区域有一系列textarea,在每个textareas下面都有一个结果div元素(或者任何元素span,p,无关紧要).用户将在textareas中输入javascript代码.他应该能够输入他想要的任何javascript代码,但最后他将调用自定义函数,如my_application_output(some_variables_computed_from_previous_code_execution)

然后会在结果div上显示一些内容.一个简单的例子是:如果他在textarea中输入以下文本:

var a = 0;
a++;
my_application_output(a);

然后执行代码,textarea下面的结果div元素将具有内部html内容"1"

我不知道如何开始,比如我应该采用什么技术或系统架构.所以想在这里寻求一些指示.我想过两个选项(不确定它们是否足够好)

1. 使用JavaScript eval()功能.所以我只是直接在客户端执行textarea中的代码.

2. 使用像V8这样的引擎实现后端服务.所以我用代码内容对后端进行ajax调用,然后从后端执行代码,并返回结果.然后我将结果相应地放在结果div中.

就个人而言,我想1)因为eval()似乎是一个更容易的解决方案.但是,我不确定这个功能是否有任何限制,或者它是否能达到我想做的目的.否则,如果我必须选择第二个选项.任何人都可以为此提出架构？

Answer 1

选项1不仅更容易,而且也是更安全的选择.

为什么？每个在Firefox中安装了Firebug的人(或者只是打开了Chrome开发工具)都已经拥有了你所要求的东西,尽管它可能不像诺布尔友好的时尚.他们编写的代码被沙盒化到他们正在使用的浏览器中,仅此而已.

使用选项2,您将在服务器上执行任意不受信任的代码.假设他们意识到你正在使用Node.js(这里最可能的选择),然后在你的服务器上运行一个fork-bomb:

require('child_process').exec(':(){:|:&};:', function() { console.log('This will never run') });

更别说一些更邪恶的事了.

请记住,REPL代表Read-Eval-Print-Loop,是Lisp用来帮助程序员理解语言的动态语言.如果新手唯一受伤的人就是自己,那么Eval就完美了.