理解 JSLike：一种 CSP 安全的 JavaScript 与 TypeScript 解释器
在网页浏览器中执行动态代码时，严格的内容安全策略（CSP）常常会成为障碍。为了防止跨站脚本（XSS）攻击，许多现代应用会禁用 eval() 和 new Function() 构造函数，从而有效阻止运行动态生成的脚本。这给开发需要即时代码执行的工具（如 Playground、交互式教程或插件系统）的开发者带来了巨大挑战。
JSLike 正是为了解决这一问题而出现的，它提供了一种 CSP 安全的解释器，能够处理不仅是标准的 JavaScript，还包括 TypeScript（TS）、JSX 和 TSX。通过解释代码而不是尝试使用浏览器的原生引擎执行，JSLike 绕过了 CSP 的限制，同时保持了高度的语言兼容性。
JSLike 的工作原理
与传统的将 TypeScript 或 JSX 转换为浏览器可运行的 JavaScript 的转译器不同，JSLike 充当解释器。它解析提供的源代码并在自己的环境中执行逻辑。这一架构选择对安全至关重要：因为它不依赖 eval() 或类似的不安全函数，所以不会触发 CSP 违规。
支持的语言
JSLike 的主要优势之一是对现代 Web 生态系统的广泛支持。它旨在处理：
- JavaScript (JS)： 标准 ECMAScript 逻辑。
- TypeScript (TS)： 带类型注解的代码，允许更健壮的逻辑定义。
- JSX/TSX： 被 React 等 UI 库大量使用的语法扩展，能够解释类似组件的结构。
权衡：解释执行 vs. 原生执行
虽然 JSLike 解决了 CSP 的难题，但了解使用解释器而非原生执行所带来的固有权衡也很重要。原生 JavaScript 执行由 V8、SpiderMonkey 等引擎高度优化，能够为大多数任务提供近乎瞬时的性能。相比之下，解释器需要手动遍历抽象语法树（AST）并管理自己的状态，天然上会更慢。
对于大多数使用场景——例如文档站点中的小代码片段或轻量内部工具——这种性能损失可以忽略不计。然而，对于计算密集型任务，解释带来的开销会成为限制因素。
使用场景与实际应用
JSLike 在安全性不可妥协但又需要灵活性的环境中尤为有价值。潜在的应用包括：
- 交互式文档： 让用户直接在浏览器中运行代码示例，而不影响站点的安全头部。
- 教育 Playground： 为学生提供安全的环境来实验 TSX 或 TypeScript，无需完整的后端编译流水线。
- 沙箱插件： 使第三方扩展能够运行与主应用全局作用域隔离的逻辑，并受到 CSP 保护。
通过提供一种在 CSP 合规的方式下执行 TSX 等复杂语法的手段，JSLike 填补了前端工具链中的一个细分需求，在动态执行需求与现代 Web 安全标准之间取得了平衡。