作者StarTouching (抚星)
看板Ajax
标题Re: [问题] 为何FF无法藉由new Function()传递事件?
时间Sat Jan 19 17:02:45 2013
※ 引述《folio (function(){})()》之铭言：
: - ms dom 中，event 发生时，记载 event data 的 object 放在一个 global variable 里面，
: 这个 global variable 叫做 event。
: - 而 global variable 其实就是 global object 的某个 property。
: - 当我们讨论 client-side 的时候 global object 就是 window object。
: 综合以上三点，所以 ms dom 中，handler 需要 event data 的时候，会写 window.event，
: 事实上你写 event 也是一样的意思。
: oncilck = Function("if(keyVerify(event)")...)
: 当 Function constructor 被 evaluate 的时候，是在 global scope 中 evaluate，
: 首先在 javascript 里面如果是要动态产生 function 的话，并不需要用 Function constructor。
: 写 function(){} 就可以了，理由一是 Function constructor 要把 function body 交给
: interpreter 处理，这是很昂贵的事情；理由二，这制造了 injection 的时机。
其他部份我懂了 先谢谢你的答覆
不过这点我要解释一下
我使用new Function()是因为有变数传递
function(){toPage(i)} i的值一律都会变成回圈最後一圈的值
我猜想这是因为 function() 匿名函式(函式实字) 要一直到被呼叫的时候
才会去抓变数职
所以当onclick触发时 i的值当然就固定在最後的值
但是用
new Function("toPage("+i+")") 就抓得出来
因为函式建构子在宣告这个函式的当下 就已经在解析变数i。
我後来得知匿名函式另一种方法 这应该才是真正的参数传递吧:
onclick = function(j) {
return function(){
toPage(j);
}
}(i);
透过这种方式 外面那层函式会被立即呼叫
所以变数当然也会立刻解析。
和上面比起来 优点是他传递的是变数 而不是值
所以要传递参考变数例如物件 单独new Function就没用了
一定要用这种方法。
另外就是 只有外面那层要交给interpreter立即处理
不像函式建构子整个function动作都要丢给 interpreter
虽然如此 我想 new Function 还是有它派上用场的时候。
拿我这次写的东西举例:
function foo(obj, css1, value1, css2, value2)
{
var f = new Function("obj", "v", "obj.style." + css1 + "= v");
f(obj, value1);
f = new Function("obj", "v", "obj.style." + css2 + "= v");
f(obj, value2)
}
foo(this, "height", "300px", "width", "500px");
因为函式建构子是将字串转成程式码
所以弹性就高出许多 原本code不能放变数的地方
透过new Function就能做出变化。
我个人猜想 jQuery可能也是用类似方法实作的。
至於injection漏洞问题 这我确实就不太明白了。
请问可以举个例子吗?
这样以後也好避免。
--
※ 发信站: 批踢踢实业坊(ptt.cc)
◆ From: 1.162.203.164
※ 编辑: StarTouching 来自: 1.162.203.164 (01/19 17:06)
1F：推 s25g5d4:看起来这东西就像eval阿 jQuery不太可能用这种方式 01/19 17:27
2F：推 s25g5d4:jQuery还真的有用到new Function() 当我没说好了 01/19 17:31
3F：→ StarTouching:对耶 原来eval是这样用的 我现在才知道 XDDD 01/19 17:46
4F：→ StarTouching:不过既然如此 如果函式建构子有injection问题 01/19 17:46
5F：→ StarTouching:eval()也一样会有 01/19 17:47
7F：→ s25g5d4:在jQuery里用到这一段是因为parse JSON 而且它有做valid 01/19 17:57
8F：→ s25g5d4:可以尽量避免掉XSS的问题 eval本来就有这样的问题没错 01/19 17:58
9F：→ s25g5d4:基本上现在主要浏览器的最新版本都有原生parseJSON 01/19 17:59
10F：→ s25g5d4:所以用jQuery遇到new Function的机率几乎等於零 01/19 17:59
11F：推 s25g5d4:另外就是你提供的例子其实有更好的写法 像这种形况 01/19 18:04
12F：→ s25g5d4:可以改用obj.style[css]=value 01/19 18:05
13F：→ s25g5d4:唯background-color这种命名方式要改成骆驼命名法 01/19 18:06
15F：→ emn178:closure是javascript很重要的特性,也是正确的做法 01/19 21:01