本文介绍如何在 javascript 中为 eval() 创建受控的局部作用域，避免全局污染和代码注入风险，通过 function 构造函数动态生成闭包函数，将用户定义的变量安全注入执行环境。
在 JavaScript 中，eval() 默认总是在当前作用域（或全局作用域）中执行字符串代码，无法直接传入一个“变量上下文对象”并让其中的键值对自动成为执行时的局部变量——eval().call(context) 是无效的，因为 eval 是特殊语法（非普通函数），不支持 call/apply 绑定作用域。
但有一个安全、可靠且符合语言规范的替代方案：使用 Function 构造函数。它接受参数名列表和函数体字符串，动态创建一个新函数，其形参会自然形成独立的词法作用域。我们可将用户提供的变量名作为参数名，变量值作为实参传入，再在函数体内调用 eval()（此时 eval 在该函数的局部作用域中执行，能直接访问所有参数变量）。
以下是核心实现：
function evalWithContext(script, context = {}) {
// 提取变量名（参数名）和变量值（实参）
const paramNames = Object.keys(context);
const paramValues = Object.values(context);
// 构建 Function：参数为所有变量名 + 'script'，函数体为 return eval(...)
// 添加 'script = undefined;' 是关键防护：防止用户脚本意外覆盖 script 参数，导致后续 eval 执行错误内容
const evaluator = Function(
...paramNames,
'script',
'return eval("script = undefined;" + script);'
);
// 调用函数，传入所有变量值 + script 字符串
return evaluator(...paramValues, script);
}
// 使用示例
const userVars = { x: 10, y: 20, z: 5 };
const result = evalWithContext('x * y + z', userVars);
console.log(result); // 205✅ 优势说明：
立即学习“Java免费学习笔记（深入）”；
- 作用域隔离：所有变量仅存在于 evaluator 函数的局部作用域，不会污染全局或外层作用域；
- 防注入增强：script = undefined; 确保 script 参数不可被用户代码篡改，杜绝因重赋值引发的逻辑绕过；
- 类型安全：context 中的值以原生 JavaScript 值传入（数字、布尔、对象等），无需序列化/反序列化，避免 JSON 限制与 eval 字符串拼接漏洞；
- 无全局污染：完全不依赖 window、globalThis 或 with（已废弃且禁用严格模式）。
⚠️ 重要注意事项：
- Function 构造函数仍属于动态代码执行，不应执行不受信任的输入。本方案只解决“作用域可控”问题，不解决“是否该用 eval”这一根本安全问题；
- 若 context 包含函数或复杂对象，它们可在 script 中正常使用（如 obj.method()），但需确保其自身逻辑安全；
- 严格模式下 eval 的行为不变（仍创建局部变量），因此该方案兼容严格模式；
- 避免在循环中高频调用此函数——Function 构造有开销，如需高性能可预编译 evaluator。
总结：当必须使用动态求值且需变量隔离时，Function + 显式参数绑定是目前最健壮、标准兼容的解决方案。它巧妙利用了 JavaScript 的函数闭包机制，以声明式方式构建受控执行环境，远优于字符串拼接或全局污染等反模式。
