排查老旧js全局污染的关键是找“多出了什么”，需检查全局对象异常属性、原型链污染及默认绑定失效，并通过冻结、校验和精准删除实施防护。
排查老旧 JavaScript 全局污染引发的业务逻辑故障，关键不是找“哪里错了”，而是找“多出了什么”——尤其要盯住默认绑定规则下被意外暴露或篡改的 this 和全局对象行为。老旧代码常运行在非严格模式，this 默认指向 window（浏览器）或 global（Node.js），一旦函数裸调用、原型被污染或变量泄漏，就极易把业务数据挂到全局，造成隐性覆盖、状态错乱或安全风险。
检查全局对象是否被意外写入
老旧脚本常直接赋值 window.xxx = ... 或省略 var/let/const 声明，导致变量自动挂载全局。执行以下操作快速扫描异常项：
- 在控制台运行
console.dir(globalThis)，按字母排序查看新增属性（如__temp、utils、patchedArray等非标准命名） - 对比干净环境（如新建无扩展的 Chrome 无痕窗口）下的
Object.getOwnPropertyNames(globalThis)列表，筛选出项目加载后多出的键 - 重点关注值为函数、对象或正则的属性——它们可能是被注入的工具方法或劫持逻辑
验证原型链是否被污染影响默认绑定
原型污染会改变所有对象的默认行为，尤其当 Object.prototype 被添加了 toString、valueOf 或 admin 类字段时，会干扰 JSON 序列化、深拷贝、甚至 this 的隐式查找路径：
- 运行
Object.getOwnPropertyNames(Object.prototype)，搜索__proto__、constructor、prototype及大小写变体（如Constructor） - 测试一个空对象：
const o = {};，然后o.admin或o.toString()是否返回非预期值 - 若发现异常，逐级检查
o.__proto__→o.__proto__.__proto__，定位污染源头（常见于旧版lodash.merge或手写递归合并函数）
复现并隔离默认绑定失效场景
老旧代码中大量使用 setTimeout(obj.method, 100)、btn.onclick = obj.handleClick 等写法，在非严格模式下触发默认绑定，使 this 指向 window，进而意外读写全局变量：
- 在疑似故障函数开头加日志：
console.log('this:', this, 'in', arguments.callee?.name); - 若日志显示
this是window且函数本应操作实例属性（如this.data），说明发生了绑定丢失 - 临时修复：将调用改为
setTimeout(() => obj.method(), 100)或提前绑定obj.method = obj.method.bind(obj)
运行时轻量防护与快速回滚
不建议在生产环境直接遍历删除 globalThis 属性，但可部署精准检测和冻结策略：
- 启动时运行
Object.freeze(Object.prototype)（注意 IE 不支持），阻止后续原型污染 - 编写校验函数，在关键入口（如页面初始化、API 响应处理后）调用：
function checkGlobalPollution() {
const suspicious = ['__proto__', 'constructor', 'prototype', /^_+/, /hack|util|tmp/i];
for (const key in globalThis) {
if (suspicious.some(p => p.test?.(key) || key === p)) {
console.warn('⚠️ Global pollution detected:', key);
}
}
} - 对已确认污染项，用
delete globalThis.xxx（仅当configurable: true）或globalThis.xxx = undefined; Object.defineProperty(globalThis, 'xxx', { writable: false, configurable: false })锁定
Java免费学习笔记：立即使用
解锁 Java 大师之旅：从入门到精通的终极指南
