一、线上事故:运营要按供需公式浮动裁决之杖价格,某次把表达式字符串直接塞进裸 loadstring 执行,串里夹带未知全局调用,测试服价目表被整表清空,回档耗时 3 小时。
二、底层原理:loadstring 把字符串编译成函数但不执行,5.1 用 setfenv 给它换环境。架构要点是沙箱:挂一张只含 math、tonumber 等白名单的环境表,公式读不到真实全局,越权取到 nil,再配 pcall 落兜底价。
三、正确代码:
错误写法。示例代码如下:
local function priceBy(expr)
local f = loadstring(expr) -- 裸执行运营字符串
return f() -- 全局环境裸奔
end
正确写法。示例代码如下:
local function priceBy(expr)
local sand = {math = math, tonumber = tonumber,
tostring = tostring}
sand._G = sand
local f = loadstring("return " .. expr)
if not f then return 15001 end
setfenv(f, sand) -- 5.1 沙箱环境
local ok, price = pcall(f)
if ok and price then return math.floor(price) end
return 15001 -- 兜底标价
end
四、引擎验证:公式 "8000 + 4000 * 0.5" 算出 10000 写入价目;夹带未知全局的恶意串被沙箱拦成 nil 报错,pcall 接住落兜底 15001,越权 0 次。
五、FAQ:问:为何拼接 return 前缀?答:让表达式直接成为函数体,运营写 8000+x 而非 return 8000+x,公式更短更少错。
全站技术干货持续更新:996 引擎 / Lua 实战帖,语法、参数与示例一篇讲透。进入文章地图 · 查看全部 →
【语法】 一、隐蔽陷阱 在字母方阵里找一条上下左右相邻的路径,恰好拼出一个单词且每个格子只用一次:全路径枚举数量爆炸,回溯不…
【游戏】 一、业务场景 秋季活动缺一个轻量竞技,宠物斗武太重、报名太麻烦。斗蛐蛐上线:捕捉野生蛐蛐喂养七日,随后报名斗蛐蛐大…
【语法】 一、隐蔽陷阱 统计 n 枚骰子点数之和的所有组合:递归枚举每枚骰子 6 种点数,6 的 n 次方种组合在 n=10…
【游戏】 一、业务场景 修理铺只修装备耐久,银饰变暗、断裂没人管,玩家只能含泪丢弃。银匠铺上线:银饰进店可选抛光翻新或断口重…
【语法】 一、隐蔽陷阱 从矩阵左上角走到右下角,只能向右或向下,求途经数字之和最小的路线:枚举所有路径有 C(m+n-2, …
【游戏】 一、业务场景 社交玩法除了聊天就是组队,缺一点浪漫仪式。纸鸢寄语上线:写一句 20 字寄语绑上纸鸢放飞,纸鸢随机落…