$.get(code_url)执行返回的代码,不使用eval(),也不将其附加到DOM。jQuery安全性失败?

我在调试我的NodeJS应用程序时发现了一个巨大的事实:使用jQuery

$.get(code_url)

哪里 code_url 是指向服务器上javascript代码的URL, 确实执行代码 .

预期是:

$.get("script.js", function(data) {
    // data contains the content of 'script.js' as a string
    // We can choose either to :
    // - Append it to the DOM
    // - Evaluate it using eval()
    // - Store it for later use
});

但是,即使在回调中什么都不做,代码也确实被执行了。

我试图用几行代码重新创建一个几乎是空的服务器,以确保它不是来自我的项目。即使总共有十几行,我也可以复制。

NodeJS服务器:

const express = require('express');
const App = express();
App.use(express.static('www'));
App.listen(5000);

index.js(由index.html执行)

$(document).ready(function() {
    $.get("utils.js")
});

utils.js(在中用作静态 www/ 由服务器)

console.log("Hello World");
let a=1000;
console.log(Math.PI*a);

和BOOM,执行代码:

注意:问题似乎只发生在本地服务器上,但我仍然认为这是一个相当严重的问题。我只是无法在不实时执行的情况下下载任何代码。。。拜托。我发现一个巨大的jQuery错误了吗?

测试时间

• jQuery 3.6.3和3.7.1
• 谷歌浏览器(版本123.0.6312.1122(官方版本)(64位))
• Linux Ubuntu 22.04