如何利用 new.target 完美防止核心加密构造函数被作为普通函数劫持-js教程-PHP中文网

new.target 是最轻量可靠的构造函数调用校验方式：首行检查其是否存在以禁止普通调用，基类中还可通过 new.target === 构造器名防止直接实例化，并需规避箭头函数、代理透传等陷阱。

如何利用 new.target 完美防止核心加密构造函数被作为普通函数劫持

直接用 new.target 在构造函数开头做校验，是最轻量、最可靠的方式——它不是“防御性编程”，而是语义级的强制约束。

核心校验：只允许 new 调用，拒绝一切普通调用

在加密类（如 AESEncryptor）的 constructor 第一行，检查 new.target 是否存在：

若 new.target === undefined：说明被当成了普通函数调用（如 AESEncryptor(key)），立即抛出 TypeError，不执行任何后续逻辑；
若 new.target 为构造器本身（如 AESEncryptor 或其子类）：继续初始化，确保 this 绑定正确、密钥被安全加载、内部状态不可篡改。

示例：

javascript-pro

专注现代 ECMAScript、异步编程、性能优化和全栈的 JavaScript 专家，适用于现代开发

下载

class AESEncryptor {
  constructor(key) {
    if (!new.target) throw new TypeError('AESEncryptor 必须用 new 调用');
    this.#validateKey(key);
    this.#initCipher(key);
  }
  #validateKey(k) { /* 密钥强度校验 */ }
  #initCipher(k) { /* 初始化加密上下文 */ }
}

防继承链绕过：禁止基类直接实例化

若你设计的是加密基类（如 Encryptor），需防止攻击者绕过子类、直接 new Encryptor() 来跳过安全策略：

在基类 constructor 中判断 new.target === Encryptor；
为真则抛错，强制使用者必须继承并实现具体算法（如 class AES256Encryptor extends Encryptor）；
子类调用 super() 时，new.target 指向子类名，校验自然通过。

警惕箭头函数与高阶封装陷阱

加密逻辑常被包裹在工厂或闭包中，此时容易误用导致 new.target 失效：

箭头函数里没有 new.target：不能把核心构造逻辑写成箭头函数，否则无法检测调用方式；
代理或包装函数需透传 new.target：若用 Proxy 增强加密类，construct handler 中必须用 Reflect.construct(target, args, newTarget)，否则子类 instanceof 失败、原型链断裂；
避免 return 原始值或字面量对象：构造函数若意外返回 {} 或 42，会破坏实例结构，使密钥管理失效。