保护用户定义的javascript函数以保护node.js服务器

我正在制作一个数学教学网页(NodeJS后端和Angular前端).我想要一种特殊的用户(创建者)来创建数学练习.这些练习之一如下所示：

Marie has ${nums[0]} oranges and ${nums[1]} apples. How many fruits does she have?

现在,我希望创建者编写一个如下的数字生成函数：

const generate = () => {
  const nums = new Array(2).fill(0).map(e => Math.floor(Math.random() * 10)
  return { nums: nums, answer: nums.reduce((p, c) => p + c, 0) }
}

此功能应发送到服务器并存储.当用户想要尝试测试时,该问题应在服务器上执行.
我应该怎么做才能保护服务器免受恶意代码的侵害,例如：

const generate = () => {
  process.exit()
}

解决方法:

答案很短,对于服务器而言,这从来都不是真正安全的.无法证明程序是安全的.有一些缓解措施(例如沙箱)可以提供帮助,但最终总会有风险.对于此应用程序,可能是不必要的.

考虑一些传达不需要exec的公式的方法.一种方法可能是发送某种抽象的语法树,或者解析数学表达式.

这个npm软件包似乎很有希望.填写数学表达式字符串模板的方式与填写书面问题模板的方式相同.可能有必要提供另一个对象来定义所需的随机数,并将其映射到名称以供模板使用.数学表达式评估器

标签：node-js,security,xss,javascript,function
来源： https://codeday.me/bug/20191210/2105249.html