js执行命令防止代码注入

JavaScript 中防止代码注入通常涉及安全处理用户输入、限制变量作用域以及使用安全的函数执行策略。以下是几个关键点：

1. **验证和过滤输入**：对来自用户的任何输入都要进行严格的检查和清理，避免包含恶意脚本或特殊字符。可以使用正则表达式或其他库来移除HTML标签、转义特殊字符等。

const userInput = cleanInput(inputFromUser);

2. **使用模板字符串或ES6模板字面量**：它们可以防止跨站脚本攻击 (XSS)，因为不会解析特殊HTML标签。

let output = `<div>${userInput}</div>`; // 不推荐
let output = `${userInput}`; // 或者使用模板字面量

3. **禁止直接执行**：不要直接将字符串作为`eval()`或`new Function()`的参数来执行，这两个函数会运行传递给它们的任意代码。

4. **使用DOM操作代替**：对于动态创建元素，尽量使用`document.createElement()`而不是innerHTML，后者可能会引入安全隐患。

5. **使用沙箱或隔离上下文**：如果需要执行用户提供的代码片段，可以考虑使用`WebAssembly`、`worker`或者其他安全沙盒环境来限制其权限。

// 不推荐
executeUserCode(userProvidedCode);

// 推荐
const sandbox = new SafeExecutionEnvironment();
sandbox.execute(userProvidedCode);