如何用 Object.hasOwn() 替代 hasOwnProperty 以防御原型链篡改引发的运行时安全风险

林译川

2026-10-03 • 👁 0人浏览过

Object.hasOwn()是ES2022引入的静态方法，彻底绕过被污染的Object.prototype，不依赖原型链，直接安全检测对象自身属性；Chrome 93+等现代环境原生支持，null/undefined会抛TypeError，Symbol需传原始值而非字符串描述。 Object.hasOwn() 是目前最直接、最安全的替代方案，能彻底绕过被污染的

Object.prototype.hasOwnProperty

，无需 polyfill（Chrome 93+、Firefox 97+、Safari 16.4+、Node.js 16.9+ 原生支持）。为什么 hasOwnProperty 不再可信当攻击者或遗留代码执行类似

Object.prototype.hasOwnProperty = () => false

或篡改其行为时，所有依赖

obj.hasOwnProperty("key")

的逻辑都会失效——可能跳过关键校验、误判属性存在性，甚至引发静默逻辑错误。这不是理论风险，真实出现在某些老旧 SDK、调试工具或恶意注入场景中。而

Object.hasOwn()

是静态方法，不通过原型链查找，不读取

Object.prototype

上的任何属性，从根本上切断了该攻击面。替换时必须注意的三个细节替换不是简单全局搜索替换，需关注以下实际差异：

Object.hasOwn()

第一个参数必须是对象（

null

或

undefined

会抛

TypeError

），而

hasOwnProperty

在非对象上调用会隐式转为

Object(obj)

（例如

"".hasOwnProperty("length")

true

）

Object.hasOwn()

不支持 Symbol 作为字符串传入（但支持 Symbol 类型本身）：

Object.hasOwn(obj, Symbol("a"))

✅，

Object.hasOwn(obj, "Symbol(a)")

❌ 在严格模式下，

obj.hasOwnProperty.call(null, "x")

这类防御写法仍有效，但已冗余；直接用

Object.hasOwn(obj, "x")

更简洁、更健壮常见误用场景与修正示例下面这些写法看似合理，实则仍有隐患或语法错误：

const obj = { a: 1 };
// ❌ 错误：传入 null，会立即 throw
Object.hasOwn(null, "a");

// ✅ 正确：先做类型检查（如需兼容非对象）
if (obj != null && typeof obj === "object") {
  Object.hasOwn(obj, "a");
}

// ❌ 错误：把 Symbol 描述当字符串
Object.hasOwn(obj, "Symbol(a)");

// ✅ 正确：使用原始 Symbol 值（需保留引用）
const sym = Symbol("a");
obj[sym] = true;
Object.hasOwn(obj, sym); // true

兼容性兜底策略（仅限必要场景）如果必须支持 Node.js

const hasOwn = Object.hasOwn || Object.prototype.hasOwnProperty.call.bind(Object.prototype.hasOwnProperty);
// 注意：此 fallback 仍受原型污染影响，仅用于过渡，不可长期依赖

真正需要防御原型污染的系统，不应依赖这种 fallback —— 它只是“有比没有强”，而非“安全”。生产环境若无法升级运行时，应优先加固原型链（如冻结

Object.prototype

），而非妥协于不安全的降级逻辑。最易被忽略的一点：很多团队只替换了显式的

obj.hasOwnProperty

，却忘了

for...in

循环里常配合的

hasOwnProperty

校验。这类隐式依赖必须一并扫描替换，否则防线依然存在缺口。

相关文章