decimal.js 安全扩展实践:继承并修复构造函数劫持问题

大明吖_3357

大明吖_3357

2026-06-30

963人浏览

原创

decimal.js 安全扩展实践:继承并修复构造函数劫持问题

本文详解如何正确继承 decimal.js 的 decimal 类,解决其内部强制重置 constructor 导致的子类方法调用失效问题,并提供可落地的安全输入封装方案。

本文详解如何正确继承 decimal.js 的 decimal 类,解决其内部强制重置 constructor 导致的子类方法调用失效问题,并提供可落地的安全输入封装方案。

在金融、计费、科学计算等对精度与健壮性要求极高的场景中,直接使用 decimal.js 的 Decimal 类虽能规避 JavaScript 原生浮点误差,但其原始设计存在一个关键限制:每个实例的 constructor 属性被硬编码为 Decimal 本身(见源码 decimal.mjs 第 4290 行 x.constructor = Decimal)。这一设计初衷是避免继承链中 constructor 指向 Object,却意外破坏了标准的原型继承语义——导致子类方法中通过 new this.constructor(...) 创建新实例时,实际调用的仍是父类 Decimal 构造函数,而非子类自定义逻辑。

这意味着,即使你精心封装了输入校验逻辑:

import { Decimal } from 'decimal.js';

class SafeDecimal extends Decimal {
  constructor(value: Decimal.Value) {
    // ❌ 错误示范:未修复 constructor 劫持
    if (typeof value === 'string' && !/^-?\d*\.?\d+(?:[eE][+-]?\d+)?$/.test(value)) {
      super('NaN');
    } else {
      super(value);
    }
  }
}

当执行 new SafeDecimal('1.5').add('invalid') 时,add 方法内部会调用 new this.constructor('invalid') —— 此时 this.constructor 已被 decimal.js 覆盖为 Decimal,于是跳过你的校验逻辑,直接触发原生 Decimal('invalid') 报错(DecimalError),而非预期的 NaN 结果。

Json Schema Toolkit
Json Schema Toolkit

使用 JSON Schema 验证 JSON 数据,从示例 JSON 生成 schema,并将其转换为 TypeScript 接口、Python 数据类或 Markdown 文档。

下载

✅ 正确解法:在子类构造函数末尾显式恢复 constructor 引用:

import { Decimal } from 'decimal.js';

class SafeDecimal extends Decimal {
  constructor(value: Decimal.Value) {
    // ✅ 输入预处理:严格校验字符串格式
    const sanitized = typeof value === 'string'
      ? (/^-?\d*\.?\d+(?:[eE][+-]?\d+)?$/.test(value) ? value : 'NaN')
      : value;

    super(sanitized);

    // ✅ 关键修复:覆盖 decimal.js 的 constructor 劫持
    this.constructor = SafeDecimal;
  }

  // 可选:增强型静态工厂方法(更语义化)
  static from(value: unknown): SafeDecimal {
    try {
      return new SafeDecimal(value);
    } catch {
      return new SafeDecimal('NaN');
    }
  }
}

// ✅ 验证:方法链式调用 now respects sanitization
console.log(new SafeDecimal('1.5').add('abc').toString()); // "NaN"
console.log(new SafeDecimal('2').times('3').toString());   // "6"
console.log(new SafeDecimal('invalid').toString());        // "NaN"

⚠️ 注意事项:

  • this.constructor = SafeDecimal 必须置于 super() 调用之后,否则 this 尚未初始化;
  • 此修复仅针对 decimal.js 特定实现,属「兼容性补丁」,非通用继承模式;
  • 字符串校验建议采用正则 /^-?\d*\.?\d+(?:[eE][+-]?\d+)?$/ 替代 parseFloat(),后者对 '123abc' 返回 123,存在静默错误风险;
  • 若项目长期依赖此类安全封装,推荐 Fork decimal.js 并移除 x.constructor = Decimal 行,从源头消除该设计副作用。

最终,SafeDecimal 不仅保留了 Decimal 全套高精度运算能力(.plus(), .dividedBy(), .sqrt() 等),更确保所有方法内部新建实例均经过统一输入治理,真正实现「一处校验、处处生效」的安全计算闭环。

相关文章

PHP速学视频免费教程(入门到精通)
PHP速学视频免费教程(入门到精通)

PHP怎么学习?PHP怎么入门?PHP在哪学?PHP怎么学才快?不用担心,这里为大家提供了PHP速学教程(入门到精通),有需要的小伙伴保存下载就能学习啦!

下载

相关标签:

javascript js

本站声明:本文内容由网友自发贡献,版权归原作者所有,本站不承担相应法律责任。如您发现有涉嫌抄袭侵权的内容,请联系admin@php.cn

相关专题

更多
js获取数组长度的方法
js获取数组长度的方法

在js中,可以利用array对象的length属性来获取数组长度,该属性可设置或返回数组中元素的数目,只需要使用“array.length”语句即可返回表示数组对象的元素个数的数值,也就是长度值。php中文网还提供JavaScript数组的相关下载、相关课程等内容,供大家免费下载使用。

2023.06.20

4506

5

js刷新当前页面
js刷新当前页面

js刷新当前页面的方法:1、reload方法,该方法强迫浏览器刷新当前页面,语法为“location.reload([bForceGet]) ”;2、replace方法,该方法通过指定URL替换当前缓存在历史里(客户端)的项目,因此当使用replace方法之后,不能通过“前进”和“后退”来访问已经被替换的URL,语法为“location.replace(URL) ”。php中文网为大家带来了js刷新当前页面的相关知识、以及相关文章等内容

2023.07.04

1129

3

js四舍五入
js四舍五入

js四舍五入的方法:1、tofixed方法,可把 Number 四舍五入为指定小数位数的数字;2、round() 方法,可把一个数字舍入为最接近的整数。php中文网为大家带来了js四舍五入的相关知识、以及相关文章等内容

2023.07.04

4424

6

js删除节点的方法
js删除节点的方法

js删除节点的方法有:1、removeChild()方法,用于从父节点中移除指定的子节点,它需要两个参数,第一个参数是要删除的子节点,第二个参数是父节点;2、parentNode.removeChild()方法,可以直接通过父节点调用来删除子节点;3、remove()方法,可以直接删除节点,而无需指定父节点;4、innerHTML属性,用于删除节点的内容。

2023.09.01

900

4

JavaScript转义字符
JavaScript转义字符

JavaScript中的转义字符是反斜杠和引号,可以在字符串中表示特殊字符或改变字符的含义。本专题为大家提供转义字符相关的文章、下载、课程内容,供大家免费下载体验。

2023.09.04

1796

5

js生成随机数的方法
js生成随机数的方法

js生成随机数的方法有:1、使用random函数生成0-1之间的随机数;2、使用random函数和特定范围来生成随机整数;3、使用random函数和round函数生成0-99之间的随机整数;4、使用random函数和其他函数生成更复杂的随机数;5、使用random函数和其他函数生成范围内的随机小数;6、使用random函数和其他函数生成范围内的随机整数或小数。

2023.09.04

3245

4

如何启用JavaScript
如何启用JavaScript

JavaScript启用方法有内联脚本、内部脚本、外部脚本和异步加载。详细介绍:1、内联脚本是将JavaScript代码直接嵌入到HTML标签中;2、内部脚本是将JavaScript代码放置在HTML文件的`<script>`标签中;3、外部脚本是将JavaScript代码放置在一个独立的文件;4、外部脚本是将JavaScript代码放置在一个独立的文件。

2023.09.12

4213

6

Js中Symbol类详解
Js中Symbol类详解

javascript中的Symbol数据类型是一种基本数据类型,用于表示独一无二的值。Symbol的特点:1、独一无二,每个Symbol值都是唯一的,不会与其他任何值相等;2、不可变性,Symbol值一旦创建,就不能修改或者重新赋值;3、隐藏性,Symbol值不会被隐式转换为其他类型;4、无法枚举,Symbol值作为对象的属性名时,默认是不可枚举的。

2023.09.20

2720

5

java访问控制修饰符介绍
java访问控制修饰符介绍

java访问控制修饰符有四种,分别是public、protected、private、默认访问修饰符。详细介绍:1、public,public是最宽松的访问控制修饰符,被修饰的类、方法和变量可以被任何其他类访问,当一个类、方法或变量被声明为public时,它们可以在任何地方被访问,无论是同一个包中的类还是不同包中的类;2、protected修饰符等等。

2023.09.20

868

7

热门下载

更多
网站特效
/
网站源码
/
网站素材
/
前端模板

精品课程

更多
相关推荐
/
热门推荐
/
最新课程
WebStorm 官方调试文档
WebStorm 官方调试文档

共0课时 | 0人学习

React 教程
React 教程

共58课时 | 12.1万人学习

TypeScript 教程
TypeScript 教程

共19课时 | 6.6万人学习