如何用Object.hasOwn替代hasOwnProperty提升检测自有属性的安全性-js教程-PHP中文网

Object.hasOwn是ES2022引入的静态方法，用于安全、准确检测对象自身是否拥有指定属性，替代易受原型污染影响的hasOwnProperty；它不依赖原型链、支持null/undefined、参数为(obj, prop)，且类型更精确。

如何用object.hasown替代hasownproperty提升检测自有属性的安全性

Object.hasOwn 是 hasOwnProperty 的现代替代方案，能安全检测对象自有属性，避免原型链污染导致的误判。它在 Node.js 16.9+ 和现代浏览器（Chrome 93+、Firefox 92+、Safari 15.4+）中可用，且不被对象自身属性覆盖。

为什么 `hasOwnProperty` 可能失效

当对象自身定义了名为 hasOwnProperty 的属性时，直接调用会走对象自身的逻辑，而非原型上的方法，导致检测失灵：

const obj = { hasOwnProperty: true, foo: 'bar' };
obj.hasOwnProperty('foo'); // TypeError: obj.hasOwnProperty is not a function（若值为非函数）
// 或返回错误结果（若值为假值或自定义函数）

常见于反序列化 JSON、用户输入构造对象、第三方库劫持等场景。

对象可能被恶意/意外覆盖 hasOwnProperty 属性
无法通过 Object.prototype.hasOwnProperty.call(obj, key) 安全调用——前提是 Object.prototype 未被篡改（但生产环境不能假设这点）
in 操作符检测的是“是否可访问”，包含继承属性，不满足“自有”需求

用 `Object.hasOwn` 替代的正确写法

它是静态方法，不依赖对象原型，也不受自身属性影响，语义清晰、调用简单：

const obj = { hasOwnProperty: false, foo: 42 };

Object.hasOwn(obj, 'foo');        // true
Object.hasOwn(obj, 'hasOwnProperty'); // true（检测它自己是不是自有属性）
Object.hasOwn(obj, 'toString');   // false（继承自原型）

必须传入两个参数：目标对象 + 属性名（字符串或 Symbol）
属性名会自动转为字符串，但 Symbol 键需显式传入 Symbol 类型值
不支持数组索引作为“自有属性”检测（数组元素是数值索引，属于自有属性；但 Object.hasOwn([1,2], '0') 返回 true，行为与预期一致）
比 Object.prototype.hasOwnProperty.call 更短、更可读、更可靠

兼容性处理与降级方案

若需支持旧环境（如 IE、Node.js Object.hasOwn，但也不建议无条件回退到 obj.hasOwnProperty。

优先使用 Object.prototype.hasOwnProperty.call(obj, key)，这是目前最广泛兼容的安全写法
若担心 Object.prototype 被污染（极少见但存在），可提前缓存原始方法：const hasOwn = Object.prototype.hasOwnProperty.bind(Object.prototype);
构建工具（如 Webpack/Rollup）配合 core-js 可注入 Object.hasOwn polyfill，但注意其 polyfill 本质仍是基于 call 实现，非原生安全
TypeScript 用户需确保 lib 包含 es2022 或更高版本，否则类型报错