本文介绍如何安全、准确地在 iframe 的全局作用域中执行动态 javascript 代码，避免污染主窗口环境，并确保内置对象（如 array、regexp）来自目标 iframe 的运行时实例。
本文介绍如何安全、准确地在 iframe 的全局作用域中执行动态 javascript 代码，避免污染主窗口环境，并确保内置对象（如 array、regexp）来自目标 iframe 的运行时实例。
在 Web 开发中，有时需要在特定上下文中执行动态生成的 JavaScript 代码（例如解析配置脚本、沙箱化第三方逻辑），而默认的 eval() 总是在当前执行上下文（即当前 window）中运行，无法切换全局作用域。若你持有某个
// ✅ 正确：代码在 iframe 的全局作用域中执行
const iframe = document.getElementById('myIframe');
const result = iframe.contentWindow.eval('2 + 2; window === self'); // true
console.log(result); // 4, true
⚠️ 注意事项：
- iframe.contentWindow.eval() 中的代码始终运行在 iframe 的全局作用域，而非调用者的局部作用域 —— 因此无法访问外层函数的变量（闭包失效）；
- 所有字面量（如 [1,2], /test/g, {x:1}）创建的对象，其原型链和构造器均来自 iframe 的 realm（例如 arr.constructor === iframe.contentWindow.Array），这可能导致跨 realm 类型检查失败（如 Array.isArray(arr) 在主窗口中返回 false）；
- 若 iframe 尚未加载完成（contentWindow 为 null）或受同源策略限制（跨域 iframe），调用 .eval() 将抛出 SecurityError 或 TypeError，务必提前校验：
if (iframe.contentWindow && iframe.contentWindow.eval) {
try {
const value = iframe.contentWindow.eval('document.title');
console.log('Iframe title:', value);
} catch (e) {
console.error('Eval failed in iframe:', e);
}
} else {
console.warn('Iframe not ready or cross-origin');
}
? 替代建议（更安全）：
对于现代应用，推荐使用 iframe.contentWindow.postMessage() 配合 iframe 内预置的消息监听器来执行受控逻辑，或借助 VM 类沙箱（如 SES、QuickJS 嵌入式引擎）实现完全隔离的执行环境，从根本上规避 eval 的安全与兼容性风险。
总之，iframe.contentWindow.eval() 是唯一能原生切换 eval 执行 realm 的标准方法，但需严格遵循同源前提、做好异常处理，并警惕跨 realm 对象交互陷阱。
