Каким образом jQuery.ajax запускает загруженные скрипты глобально?
Дело в том, что если я загружаю скрипт при помощи XMLHttpRequest и запускаю потом при помощи eval, то функции из скрипта будут доступны только локально и только при вызове изнутри самого eval. Однако, если я гружу и запускаю скрипт через jQuery.ajax, то все функции из него доступны глобально. Так вот, как он это делает? Ведь физически загруженный скрипт в DOM не добавляется! По крайней мере, после загрузки скрипта, я не вижу, чтобы он где-то появился в документе.
Похоже существуют аналоги eval запускающие скрипт из строки глобально и без добавления в DOM? Или дело не в этом?
jquery находится в глобальной области видимости `window` поэтому и может вызывать колбеки в глобальной области. просто добавь свой объект в window вначале или передавай область видимость при вызове call.
Антон Шаманов, все равно не понимаю( Каким образом jQuery умудряется объявить функцию из строки глобально, без добавления в DOM? Допустим, у нас есть функция в виде текста внутри произвольной переменной:
text = "function test() { alert('Запуск тестовой функции'); }";
Как мне ее объявить глобально без добавления в DOM? Сможете привести пример?
Антон Шаманов, у меня некоторый js-код доступен только после авторизации, при POST-запросе с передачей токена, сервер возвращает код. Вот его то и надо было выполнить глобально, но при этом в целях безопасности, не записывая его в head. Не уверен, что здесь подойдет import.
Надим Закиров, в html5 рекомендует подключать скрипты в конце body. import - это основной метод загрузки в es6, хз как он может не подойти - я лично не смог придумать подобную ситуацию. для поддержки древних браузеров можно использовать requirejs.
Антон Шаманов, ничего не даст, но не хочу облегчать работу потенциальному вредителю, если он захочет испортить мне БД, ему придется сильно постараться.
P. S. Изучил как работают модули. Дело в том, что для подключения скрипта я должен буду указать ссылку на нее в явном виде, а у меня задача как раз обратная - максимально все запутать, да и отдавать js-код я хочу исключительно через POST-запросы и если переданные параметры не пройдут проверку, то отдаю уже фейк-скрипт.
Надим Закиров, кому сдалось вредить твоей базе? взлом сайта, а по сути его it аудит стоит прилично. список загруженного кода доступен в панели разработчика браузера.
я должен буду указать ссылку на нее в явном виде
а сейчас в аякс запросе она у тебя неявно указана, ну конечно) обфусикая кода также убирается довольно легко. лучше сделать нормальный фильтр входящих данных на стороне сервера.
Антон Шаманов, вообще то да, ссылки на скрипты у меня не указаны вовсе) Запрос js-кодов идет из index.php а уже он отдает нужную инфу в зависимости от параметров запроса, вот с параметрами я уже накрутил от души, без правильных ключей, которые в разные моменты времени и для разных пользователь всегда разные, не получить правильные скрипты. Я понимаю, что это по факту ни от чего спасет, но зато усложнит жизнь тем, кто чисто из любопытства зашел посмотреть, что там под копотом у сайта - нехрен туда лазить.
P. S. Там кроме этого есть еще пара тупых и идиотских трюков, которые заставят потенциального вредителя биться головой об стену, типа что за сверхразум придумал это извращение. Просто я подумал, что чем мудренее и неочевиднее, тем лучше с точки зрения безопасности.
Что-то я конкретно так тупанул, не увидел очевидного. Глобальная область видимости доступна через window, соответственно если я захочу выполнить код внутри eval() в глобальной области видимости, то достаточно написать:
window.eval('здесь внутри объявляем нужные функции');
