在 JavaScript 中访问原始全局变量和属性

Access original globals and attributes in JavaScript

本文关键字：全局变量 属性 原始 访问 JavaScript      更新时间：2023-09-26

我正在处理注入网页的代码（使用浏览器插件或带有脚本标签）。

问题是我们想使用全局对象和变量，如JSON、window.location、String.split等，而这些的实现可能已经被网页改变了。这可能会使我们的代码失败，这是一个安全问题。

例：

>>> String.prototype.split = function() { return 'foo'; };
function()
>>> 'a,b,c'.split(',');  // gives unexpected result
"foo"

那么，有没有办法访问浏览器对对象和函数的默认实现，就像它们被更改之前一样？它不一定是标准的，我只希望功能存在。

更新

也许更可行的方法是动态创建一个空<iframe>。

这是一个污染父窗口中String.prototype.split但从<iframe>获得干净示例的示例。

<html>
<head>
<script type="text/javascript">
    function onBodyLoad() {
        String.prototype.split = function() { return 'foo'; }; // contaminate original window
        console.log(String.prototype.split); // yeah, it's contaminated
        var acr = document.getElementById("accessor");
        acr.onclick = function ()
        {
            var dummyFrame = document.createElement("iframe");
            document.body.appendChild(dummyFrame); 
            console.log(dummyFrame.contentWindow.String.prototype.split); // uncontaminated
        }
    }
</script>
</head>
<body onload="onBodyLoad()">
    <a href="#" id="accessor">Access iframe Window object</a>
</body>
</html>
<小时 />

不是一般意义上的;尽管那里可能有一些奇特的黑客。

我能想到的唯一方法是确保在任何其他脚本之前加载您的代码。如果满足该要求，则可以将必要的全局变量克隆到安全位置。

相关文章：