安全声明动态变量需避免全局污染与命名冲突，优先用IIFE封装、Function构造函数替代eval，结合对象模拟作用域及静态白名单校验。
在动态代码执行中安全地声明变量，核心是避免污染全局作用域、防止变量名冲突、杜绝意外覆盖，并绕开 eval 或 Function 构造函数带来的执行风险。JavaScript 本身不提供“沙盒式变量声明”的原生语法，但可通过机制设计实现事实上的安全隔离。
优先用函数作用域封装动态逻辑
把动态代码包裹在立即执行函数中，让所有 let/const 声明自然落在局部作用域内，无法影响外部：
- 使用
(function() { /* 动态代码 */ })()或箭头函数(() => { /* ... */ })() - 内部用
let和const声明变量，它们不会被提升到外层，也不会泄漏 - 例如：
const runDynamic = new Function('a', 'b', 'return a + b'); runDynamic(2, 3);—— 参数和函数体内的变量全为私有
避免 eval，改用 Function 构造函数（更可控）
eval 直接在当前作用域运行，极其危险；Function 构造函数则总是在全局作用域的子作用域中执行，且无法访问外层闭包变量：
-
Function创建的函数拥有自己的词法环境，其内部声明的let/const完全隔离 - 它不继承调用时的
arguments或this，天然具备一定沙箱属性 - 注意：仍需校验传入的字符串内容，禁止拼接用户输入——应只允许白名单表达式或预编译模板
手动模拟“作用域容器”：用对象做命名空间
若必须注入变量到某个上下文（如配置脚本执行），可用普通对象模拟作用域，显式管理键值对：
立即学习“Java免费学习笔记（深入）”；
- 创建空对象
const scope = {};，将动态代码中要声明的变量转为该对象的属性 - 配合
with（不推荐）或更安全的Object.assign+new Function绑定参数 - 示例：
const fn = new Function('data', 'with(data) { result = x * 2; }'); const scope = { x: 5 }; fn(scope); console.log(scope.result); // 10 - 关键点：所有写操作都限定在
scope对象上，不会触碰全局或外层变量
运行前做静态分析与白名单校验
真正的安全不是靠运行时限制，而是从源头控制可执行内容：
- 用正则或简易 AST 解析器检查动态字符串：禁止出现
var、function声明、this、window、document等敏感词 - 只允许声明
let/const（且必须带初始化）、基础运算、字面量和白名单 API 调用 - 对变量名做校验：不允许以
_开头、不包含特殊符号、长度适中，防止原型污染或保留字冲突
