unsafe-eval 相关问题

typescript-eslint 规则，防止将带有类型参数的回调传递给不安全的函数

我试图在我的打字稿代码库中对任何内容都非常严格。我正在使用所有 no-unsafe-* 规则，因此我的 .eslintrc.js 包括： '@typescript-eslint/no-unsafe-argument': '错误', '@

有什么办法可以防止在nodejs代码中使用eval和friends吗？它已被至少几个 npm 恶意包使用，我没有理由在我当前的项目中使用它......

我尝试通过 ruby rbnev 安装 jekyll，然后将 open ~/.bash_profile 放入终端并在文本编辑器中输入 eval "$(rbenv init -bash)" ，这是唯一的方法...

我想在javascript中使用microsoft office api，因为我正在开发chrome扩展，并且在使用office脚本时遇到问题

拒绝加载脚本“https://appsforoffice.microsoft.com/lib/1/hosted/office.js”，因为它违反了以下内容安全策略指令：“script-src 'self' 'wasm-unsafe -伊娃...

在 R 中，计算字符串向量中的表达式

我希望计算包含算术表达式的字符串向量——“1+2”、“5*6”等。我知道我可以将单个字符串解析为表达式，然后按 eval(parse(te...

如何获取选择选项并将它们放入数组中？, playwright + JavaScript

我正在尝试使用 Playwright 从第三个选择 HTML 元素中定位并提取所有选项/文本并将其推送到数组中？我尝试了不同的替代方案，page.locate()、page.$$eval() 和...

R 嵌套函数中并行计算（%dofuture%）的变量作用域问题

当我尝试在嵌套函数中使用 %dofuture% 进行并行计算时，我遇到了变量范围问题。这是我收到的错误消息： eval 中的错误（引用（{：未找到对象“opt” 他...

如何在 JavaScript 中转义 XML 实体？

在 JavaScript（服务器端 NodeJS）中，我正在编写一个生成 XML 作为输出的程序。我通过连接字符串来构建 XML： str += '<' + key + '>'; str += 值； str += ' 在 JavaScript（服务器端 NodeJS）中，我正在编写一个生成 XML 作为输出的程序。我通过连接字符串来构建 XML： str += '<' + key + '>'; str += value; str += '</' + key + '>'; 问题是：如果value包含'&'、'>'或'<'等字符怎么办？逃离这些角色的最佳方法是什么？或者是否有任何 JavaScript 库可以转义 XML 实体？对于相同的结果，这可能会更有效一些： function escapeXml(unsafe) { return unsafe.replace(/[<>&'"]/g, function (c) { switch (c) { case '<': return '<'; case '>': return '>'; case '&': return '&'; case '\'': return '''; case '"': return '"'; } }); } HTML 编码只是将 &、"、'、< 和 > 字符替换为其实体等效项。顺序很重要，如果您不首先替换 & 字符，您将对某些实体进行双重编码： if (!String.prototype.encodeHTML) { String.prototype.encodeHTML = function () { return this.replace(/&/g, '&') .replace(/</g, '<') .replace(/>/g, '>') .replace(/"/g, '"') .replace(/'/g, '''); }; } 如@Johan B.W. de Vries 指出，这会对标签名称产生问题，我想澄清一下，我假设这是用于 value only 相反，如果您想解码 HTML 实体1，请确保在完成其他操作之后将 & 解码为 &，这样就不会双重解码任何实体： if (!String.prototype.decodeHTML) { String.prototype.decodeHTML = function () { return this.replace(/'/g, "'") .replace(/"/g, '"') .replace(/>/g, '>') .replace(/</g, '<') .replace(/&/g, '&'); }; } 1只是基础知识，不包括©到©或其他类似的东西就图书馆而言。 Underscore.js（或 Lodash，如果您愿意）提供了一个 _.escape 方法来执行此功能。如果您有 jQuery，这里有一个简单的解决方案： String.prototype.htmlEscape = function() { return $('<div/>').text(this.toString()).html(); }; 像这样使用它： "<foo&bar>".htmlEscape(); -> "<foo&bar&gt" 您可以使用以下方法。我已将其添加到原型中以便于访问。我还使用了负前瞻，因此如果您调用该方法两次或更多次，它不会弄乱事情。用途： var original = "Hi&there"; var escaped = original.EncodeXMLEscapeChars(); //Hi&there 解码由 XML 解析器自动处理。方法： //String Extenstion to format string for xml content. //Replces xml escape chracters to their equivalent html notation. String.prototype.EncodeXMLEscapeChars = function () { var OutPut = this; if ($.trim(OutPut) != "") { OutPut = OutPut.replace(/</g, "<").replace(/>/g, ">").replace(/"/g, """).replace(/'/g, "'"); OutPut = OutPut.replace(/&(?!(amp;)|(lt;)|(gt;)|(quot;)|(#39;)|(apos;))/g, "&"); OutPut = OutPut.replace(/([^\\])((\\\\)*)\$?![\\/{])/g, "$1\\\\$2"); //replaces odd backslash(\$ with even. } else { OutPut = ""; } return OutPut; }; 注意，如果 XML 中有 XML，那么所有的正则表达式都不好。相反，循环字符串一次，并替换所有转义字符。这样，您就不能两次碰到同一个角色。 function _xmlAttributeEscape(inputString) { var output = []; for (var i = 0; i < inputString.length; ++i) { switch (inputString[i]) { case '&': output.push("&"); break; case '"': output.push("""); break; case "<": output.push("<"); break; case ">": output.push(">"); break; default: output.push(inputString[i]); } } return output.join(""); } 我最初在生产代码中使用了已接受的答案，发现大量使用时它实际上非常慢。这是一个更快的解决方案（以两倍以上的速度运行）： var escapeXml = (function() { var doc = document.implementation.createDocument("", "", null) var el = doc.createElement("temp"); el.textContent = "temp"; el = el.firstChild; var ser = new XMLSerializer(); return function(text) { el.nodeValue = text; return ser.serializeToString(el); }; })(); console.log(escapeXml("<>&")); //<>& 也许你可以试试这个， function encodeXML(s) { const dom = document.createElement('div') dom.textContent = s return dom.innerHTML } 参考添加 ZZZZBov 的答案，我发现这更干净，更容易阅读： const encodeXML = (str) => str .replace(/&/g, '&') .replace(/</g, '<') .replace(/>/g, '>') .replace(/"/g, '"') .replace(/'/g, '''); 此外，所有五个字符都可以在这里找到，例如：https://www.sitemaps.org/protocol.html 请注意，这仅对值进行编码（如其他人所述）。现在我们有了字符串插值和其他一些现代化改进，现在是时候进行更新了。并使用对象查找，因为它确实应该这样做。 const escapeXml = (unsafe) => unsafe.replace(/[<>&'"]/g, (c) => `&${({ '<': 'lt', '>': 'gt', '&': 'amp', '\'': 'apos', '"': 'quot' })[c]};`); 从技术上讲，&、不是有效的 XML 实体名称字符。如果您不能信任关键变量，则应该将其过滤掉。 < and >如果您希望它们作为 HTML 实体转义，您可以使用类似 http://www.strictly-software.com/htmlencode . 如果之前有东西被逃脱，你可以尝试这个，因为这不会像许多其他人那样双重逃脱 function escape(text) { return String(text).replace(/(['"<>&'])(\w+;)?/g, (match, char, escaped) => { if(escaped) { return match; } switch(char) { case '\'': return '''; case '"': return '"'; case '<': return '<'; case '>': return '>'; case '&': return '&'; } }); } 这很简单： sText = ("" + sText).split("<").join("<").split(">").join(">").split('"').join(""").split("'").join("'");

Laravel 动态扩展或使用 Traits

可以在运行时扩展或使用不同的类吗？例子：假设我们有一个名为 Player 的模型（我们的 A 模型）可以在运行时扩展或使用不同的类吗？示例：假设我们有一个 model 称为 Player（我们的 A 模型） <?php namespace App\Models; use Illuminate\Database\Eloquent\Model; class Player extends Model{ } 我们还有另外 2 个型号（B 和 C 型号） <?php namespace App\Models; use Illuminate\Database\Eloquent\Model; protected $connection= 'db_b'; class PlayerInfoB extends Model{ function getName(){ return $this->name; } } 我们的C型号 <?php namespace App\Models; use Illuminate\Database\Eloquent\Model; protected $connection= 'db_c'; class PlayerInfoC extends Model{ function getName(){ return $this->name_g; } } 模型A (Player)如何在运行时根据配置或其他数据扩展Model B or C 为什么我需要这个。我有 2 个或更多不同的表，这些表的列有不同的名称，例如： Table 1 - name Table 2 - name_g Table 3 - name_full 所以我需要一个可以随时调用的包装器getName()，而无需检查现在使用的表。 $player = Player::get(); echo $player->getName(); 如果有不清楚的地方，请评论，我会更新我的问题。更新基于madalin-ivascu答案可以这样完成吗？ class Player extends Model{ protected $model; public function __construct(){ $this->setModel(); parent::__construct(); } protected function setModel(){ $this->model = $this->column_model_name } function getAttributeName(){ return $this->model->getName(); } } 如果不使用 eval 或 dirty hacks，就不可能在运行时编写一个类。您必须重新考虑您的类设计，因为您不太可能需要通过良好的设计来做到这一点。您可以做的是使用方法 setTable 和 on: 在运行时更改模型实例上的表和数据库连接 Player::on('db_b')->setTable('player_info_b')->find($id); 另一种方法（首选）是定义模型 PlayerInfoC 和 PlayerInfoB 来扩展您的 Player 模型，然后根据您的情况在需要时实例化类 B 或 C。在您的代码中，您的脚本必须具有您检查的状态，以便知道何时使用正确的模型？既然如此，为什么不在 get name 中使用参数呢？ class Player extends Model{ function getName($field){ return isset($this->{$field}) ? $this->{$field} : null; } } 如果你经常这样做，那么使用魔法方法： class Player extends Model{ function __get($key){ return isset($this->{$field}) ? $this->{$field} : null; } } ... echo $myModelInstance->{$field}; http://php.net/manual/en/language.oop5.overloading.php#object.get 在 Laravel 中，当你通过集合方法拉回数据时，它无论如何都会执行这个神奇的方法，因为所有属性都存储在称为属性的嵌套对象中，因此 __set() 和 __get() 看起来像这样： function __get($key){ return isset($this->attributes->{$key}) ? $this->attributes->{$key} : null; } function __set($key, $value){ return $this->attributes->{$key} = $value; } 建议后者带有属性子集，这样可以防止数据与返回的数据库列名称与模型中已使用的名称发生冲突。这样，您只需在创建的每个模型中将一个属性名称作为保留名称进行管理，而不必担心您使用的数百个 var 名称会覆盖模型或模型扩展中的另一个属性名称。使用该模型值来调用函数 $player = Player::get(); echo Player::getName($player->id,'PlayerInfoC'); 在 Player 模型中您只需调用 public static function getName($id,$class) return $class::where('player_id',$id)->getName();//each class will have the function } ps：您需要进行一些验证来测试该名称是否存在另一种选择是在模型之间创建关系您可以在模型中使用与以下相同的启动方法来执行此操作： protected static function booted() { if (<--your condition-- >) { $traitInitializers[static::class][] = 'boot' . ExampleTrait::class; $traitInitializers[static::class][] = 'boot' . Organizations::class; } }

unsafe-eval 相关问题

最新问题