如何利用 Object.isExtensible 判定并防御由于 eval 导致的全局对象污染风险-js教程-PHP中文网

object.isextensible无法防御eval污染，因其仅检测对象是否可扩展，而eval在非严格模式下通过globalthis.x=1方式赋值，不触发扩展性检查；真正防护需禁用eval、使用function构造函数、启用严格模式或沙箱隔离。

如何利用 object.isextensible 判定并防御由于 eval 导致的全局对象污染风险

Object.isExtensible 本身无法防御 eval 引起的全局对象污染，它只能判断对象是否允许新增属性，而 eval 在非严格模式下向全局作用域注入变量时，本质是给全局对象（如 window 或 globalThis）赋值——这属于属性写入或定义操作，与对象是否可扩展无直接关系。

为什么 isExtensible 对 eval 污染“无效”

原因在于：

eval('var x = 1') 在非严格模式下等价于 globalThis.x = 1（或 window.x = 1），只要全局对象该属性尚未存在，就会执行属性创建；若已存在，则是赋值，不涉及扩展性检查。
全局对象默认是可扩展的（Object.isExtensible(globalThis) === true），但即使设为不可扩展（Object.preventExtensions(globalThis)），也无法阻止对已有属性的修改或重新赋值，更不能拦截 var/let/const 声明在 eval 中的绑定行为（后者由执行上下文决定，非单纯属性操作）。
Object.isExtensible 是只读检测，不具备防护能力，也不能触发拦截或抛错。

真正有效的防御方向：隔离 + 限制 + 替代

应对 eval 全局污染，应放弃依赖元属性检测，转而采用运行时控制策略：

禁用或沙箱化 eval：生产环境避免使用 eval；必须动态执行时，改用 Function 构造函数（作用域封闭，不污染全局），例如：const fn = new Function('a', 'return a + 1');
冻结全局对象（谨慎使用）：可在初始化后调用 Object.freeze(globalThis)，阻止新增、删除、配置属性，且已有属性设为只读。注意：这会影响依赖动态挂载的库（如某些 polyfill），需充分测试。
启用严格模式：在 eval 字符串开头加 'use strict';，使其中的 var 声明不会泄漏到全局，而是仅存在于 eval 自身作用域内。
使用 Web Worker 或 iframe 沙箱：将不受信代码放入独立上下文执行，完全隔离全局对象。