我的页面上有一个表单字段，如果用户在其中输入一个简单的数学方程式，我想用解决方案替换该值。因此，如果用户在字段中键入 1 + 2 并点击 enter，我会将输入值替换为 3。
目前我只计算匹配这个正则表达式的等式:
/^[\d. \+/\*-]+$/
也就是说，如果整个字符串由数字、空格、加号、减号、乘号或除号组成。
然后我像这样评估值:
(new Function('try {var a = ' + val + '; return a;} catch(e) {return -1;}'))()
此表单字段可以由查询字符串参数预填充，客户端将尝试执行它。又名潜在的攻击是 mysite.com?inputVal=cookieStealingProgram。我不希望用户能够链接到利用代码。
我想在正则表达式中添加括号和指数，例如，用户可以输入 (1 + 2)/3 ^ 5。虽然我相当确定仅使用数字和运算符不可能进行任何攻击，但我不确定是否存在带括号的情况。
我知道只使用字符 的组合! [ ] + ( ) 你可以创建一个 fully executable javascript program .我也曾尝试在 Google 中搜索“javascript exploit characters”和各种组合，但这并不是一件容易找到的事情。
我的具体问题是是否可以仅使用 0-9 编写任意 javascript 程序。 + -/* ( ) ^(允许使用空格字符)？由于它有点开放性，如果几天后无法提供示例，我可以关闭这个问题。
我没有实现也没有制作解析器来执行此操作。这与问题无关
最佳答案
答案 1. 仅使用您列出的符号，您不能创建标识符，因此唯一可能的程序是算术表达式。要回答狭义问题，答案是否定的。
然而 Stack Overflow 被许多人阅读，并且有一些密切相关的问题会在类似情况下改变结果。
答案 2。 当代码库由一个知道自己在做什么的人维护时，最好使用答案 1。如果后来有人出现并希望用户(比如说)能够在其他地方象征性地引用价格，那么现在您有了标识符。如果后来的更改只是简单地向正则表达式添加字符，因为这是让它工作的最简单方法，那么你就有风险了。虽然我通常不喜欢试图防止愚蠢的语言功能，但这是一种为特定任务编写代码的特殊方式，似乎太容易出现错误修改。
答案 3. JSON 解析器的原始引用实现实际上使用 eval()，但它使用 JSON 语法验证器保护该语句，确保输入是正确的结构良好。它在没有解析器的情况下执行此操作，而是通过一些巧妙编写的正则表达式来识别有效的子字符串并压缩它们。它有点类似于语法制导翻译中的 reduce 操作，但实际上没有计算表达式。在目前的情况下，诸如 /[0-9]+\+[0-9]+/0/ 之类的正则表达式替换将原语加法重写为 0。为每一种可能的归约写一个规则，并将它们全部放在一个循环中。当初始字符串长度与最终字符串长度相同时，循环终止。重写后的接受模式将是 /[0-9]+/，通常只是 0。
答案 4. 如果表达式的种类有可能需要标识符，那么使用解析器生成器通常是解决此类问题的最佳方法。在这种情况下，我不相信能够正确维护正则表达式重写系统。不可否认，对于完全按照提出的问题来说，这似乎有点矫枉过正。
对于生产代码，我推荐答案 3。
$ 添加到可接受的字符列表，毕竟它是一个价格字段, 和“用户投诉”。 $ 是一个有效的标识符(通常指定为 jQuery)，$0 也是如此，而 $0() 是一个有效的函数调用。虽然这不是直接风险，但它是一个促成风险，比方说，如果存在允许定义但不允许调用属性 window.$0 的其他安全缺陷。这样的代码将是一个安全缺陷，即使它本身不会导致安全漏洞。
关于javascript - 是否可以利用允许 PEMDAS 的 javascript 数学函数？，我们在Stack Overflow上找到一个类似的问题： https://stackoverflow.com/questions/13594546/
类classAprivatedeffooputs:fooendpublicdefbarputs:barendprivatedefzimputs:zimendprotecteddefdibputs:dibendendA的实例a=A.new测试a.foorescueputs:faila.barrescueputs:faila.zimrescueputs:faila.dibrescueputs:faila.gazrescueputs:fail测试输出failbarfailfailfail.发送测试[:foo,:bar,:zim,:dib,:gaz].each{|m|a.send(m)resc
给定这段代码defcreate@upgrades=User.update_all(["role=?","upgraded"],:id=>params[:upgrade])redirect_toadmin_upgrades_path,:notice=>"Successfullyupgradeduser."end我如何在该操作中实际验证它们是否已保存或未重定向到适当的页面和消息？ 最佳答案 在Rails3中，update_all不返回任何有意义的信息，除了已更新的记录数(这可能取决于您的DBMS是否返回该信息)。http://ar.ru
使用带有Rails插件的vim，您可以创建一个迁移文件，然后一次性打开该文件吗？textmate也可以这样吗？ 最佳答案 你可以使用rails.vim然后做类似的事情::Rgeneratemigratonadd_foo_to_bar插件将打开迁移生成的文件，这正是您想要的。我不能代表textmate。 关于ruby-使用VimRails，您可以创建一个新的迁移文件并一次性打开它吗？，我们在StackOverflow上找到一个类似的问题： https://sta
查看Ruby的CSV库的文档，我非常确定这是可能且简单的。我只需要使用Ruby删除CSV文件的前三列，但我没有成功运行它。 最佳答案 csv_table=CSV.read(file_path_in,:headers=>true)csv_table.delete("header_name")csv_table.to_csv#=>ThenewCSVinstringformat检查CSV::Table文档:http://ruby-doc.org/stdlib-1.9.2/libdoc/csv/rdoc/CSV/Table.html
这个问题在这里已经有了答案:Checktoseeifanarrayisalreadysorted?(8个答案)关闭9年前。我只是想知道是否有办法检查数组是否在增加？这是我的解决方案，但我正在寻找更漂亮的方法:n=-1@arr.flatten.each{|e|returnfalseife
我想在一个没有Sass引擎的类中使用Sass颜色函数。我已经在项目中使用了sassgem，所以我认为搭载会像以下一样简单:classRectangleincludeSass::Script::FunctionsdefcolorSass::Script::Color.new([0x82,0x39,0x06])enddefrender#hamlengineexecutedwithcontextofself#sothatwithintemlateicouldcall#%stop{offset:'0%',stop:{color:lighten(color)}}endend更新:参见上面的#re
我发现ActiveRecord::Base.transaction在复杂方法中非常有效。我想知道是否可以在如下事务中从AWSS3上传/删除文件:S3Object.transactiondo#writeintofiles#raiseanexceptionend引发异常后，每个操作都应在S3上回滚。S3Object这可能吗？？ 最佳答案 虽然S3API具有批量删除功能，但它不支持事务，因为每个删除操作都可以独立于其他操作成功/失败。该API不提供任何批量上传功能(通过PUT或POST)，因此每个上传操作都是通过一个独立的API调用完成的
我正在尝试用ruby中的gsub函数替换字符串中的某些单词，但有时效果很好，在某些情况下会出现此错误？这种格式有什么问题吗NoMethodError(undefinedmethod`gsub!'fornil:NilClass):模型.rbclassTest"replacethisID1",WAY=>"replacethisID2andID3",DELTA=>"replacethisID4"}end另一个模型.rbclassCheck 最佳答案 啊，我找到了!gsub!是一个非常奇怪的方法。首先，它替换了字符串，所以它实际上修改了
我有一个包含多个键的散列和一个字符串，该字符串不包含散列中的任何键或包含一个键。h={"k1"=>"v1","k2"=>"v2","k3"=>"v3"}s="thisisanexamplestringthatmightoccurwithakeysomewhereinthestringk1(withspecialcharacterslike(^&*$#@!^&&*))"检查s是否包含h中的任何键的最佳方法是什么，如果包含，则返回它包含的键的值？例如，对于上面的h和s的例子，输出应该是v1。编辑:只有字符串是用户定义的。哈希将始终相同。 最佳答案
我需要检查DateTime是否采用有效的ISO8601格式。喜欢:#iso8601?我检查了ruby是否有特定方法，但没有找到。目前我正在使用date.iso8601==date来检查这个。有什么好的方法吗？编辑解释我的环境，并改变问题的范围。因此，我的项目将使用jsapiFullCalendar，这就是我需要iso8601字符串格式的原因。我想知道更好或正确的方法是什么，以正确的格式将日期保存在数据库中，或者让ActiveRecord完成它们的工作并在我需要时间信息时对其进行操作。 最佳答案 我不太明白你的问题。我假设您想检查