Пользовательский JS-скриптинг в веб-приложении?

Question

[russlobachev]

Цель. Я даю пользователю возможность кастомизировать вывод данных в интерфейсе. Но не через экран настроек, а путем написания скрипта. Для этого я предоставляю ему часть своей DOM, отвечающей за вывод. Например, передаю ее как некий корневой объект app в движок скриптования, и через этот app как глобальную переменную пользователь скриптит вывод данных.


По идее, это можно сделать через eval. Но как закрыть пользователю доступ к внешним объектам (window, alert и т.д.) и разрешить работать только в рамках моей DOM?

Answer 1

[Константин Китманов]

Caja не смотрели?

Comments

[russlobachev]

Класс! Большое спасибо!

Answer 2

[Илья Севостьянов]

Если через eval, средствами JavaScript никак.

Answer 3

[spmbt]

Никак. Пользователь может внедрить скрипт (тег Script src), в котором будет доступ к window в Хроме, где специально постарались усложнить доступ контентных скриптов, а в остальных браузерах получить window никогда не было проблемой. (Правда, Вы не уточнили, КЕМ будет написан скрипт. Но, наверное, подразумевается, что пользователем.)

Если же Вы думаете получать данные и исполнять их в виде скрипта через eval(), то, если не считать, что это — плохая идея, такой скрипт нужно запускать в другом домене в фрейме, тогда Вы имеете шанс не получить взломанных пользователей и систему.

Comments

[Илья Севостьянов]

и да, полностью согласен с spmbt это очень плохая идея сама по себе, тем более если речь идет о client-side. Чисто теоретически, например при использовании Node.JS — то можно повесить обработку такого рода скриптов, на особым образом модифицированный движок V8, под соответствующим образом, подразумевается «выпиливание» всякого рода обращений к window, да и [[scope]] выше окружения.
(Знание С, ноды и V8 уровня «гуру» не должны вызывать сложностей, но честно говоря — оно того не стоит).

PS: подумайте над использованием для пользовательского скриптования абстрагированного от JavaScript языка.
Использование eval, а тем более на client-side — это верный способ Выстрелить себе в ногу