是否可以通过带有 node/express 的 REST API 返回 javascript 函数？

Question

我有一个独特的用例，我想向端点发出 GET 请求并返回一个 javascript 函数作为响应。我目前使用 node.js 和 express，但对其他框架开放。

所以在服务器端，如果客户端请求获取“加法”的功能。

我希望服务器发送一个如下所示的函数作为响应：

function add(num1, num2){
return num1 + num2
} 

然后客户端可以获取响应并使用该功能。例如：

axios(config).then(response=>{
myfunction = response
return myfunction(1,5)
//returns 6
})

有没有办法在服务器端“序列化”函数并将其转换为客户端的实际函数。

Answer 1

无论你做什么，你最终都会得到一个代码，你需要在客户端eval，所以你总是会冒 XSS 的风险，你需要以某种方式确保它们不包含危险代码。从 REST 的角度来看，这没什么大不了的，您只需要返回带有 application/javascript MIME 类型的 javascript 代码，您可以使用 SCRIPT 标记将其添加到 DOM，或者只使用 eval 或 new Function。

function add(a, b){
    return a+b;
}

从安全角度来看，如果您的用户可以全部或部分上传这些函数，则问题可能会更大。如果是这种情况，那么您需要将功能代码转换为服务器上的数据格式并对其进行处理，以确保在您的客户端中使用它是安全的。例如，您可以只允许像+-*/ 这样的运算符，并且您可以只允许访问局部变量。数据格式可以是这样的：

{
    function: "add",
    params: ["a", "b"],
    code: [
        {
            "return": {"+": ["a", "b"]}
        }
    ]
}

或者您可以使用已经存在的格式，例如 javascript AST。有一些工具可以用于这种格式：https://github.com/search?l=JavaScript&q=ECMAScript+AST&type=Repositories

{
  "type": "Program",
  "start": 0,
  "end": 32,
  "body": [
    {
      "type": "FunctionDeclaration",
      "start": 0,
      "end": 32,
      "id": {
        "type": "Identifier",
        "start": 9,
        "end": 12,
        "name": "add"
      },
      "expression": false,
      "generator": false,
      "async": false,
      "params": [
        {
          "type": "Identifier",
          "start": 13,
          "end": 14,
          "name": "a"
        },
        {
          "type": "Identifier",
          "start": 15,
          "end": 16,
          "name": "b"
        }
      ],
      "body": {
        "type": "BlockStatement",
        "start": 17,
        "end": 32,
        "body": [
          {
            "type": "ReturnStatement",
            "start": 19,
            "end": 30,
            "argument": {
              "type": "BinaryExpression",
              "start": 26,
              "end": 29,
              "left": {
                "type": "Identifier",
                "start": 26,
                "end": 27,
                "name": "a"
              },
              "operator": "+",
              "right": {
                "type": "Identifier",
                "start": 28,
                "end": 29,
                "name": "b"
              }
            }
          }
        ]
      }
    }
  ],
  "sourceType": "module"
}

如果您担心您的数据库包含不安全的功能或可能被攻击者修改以分发不安全的功能，那么最好在将它们发送给客户端之前再次验证它们。