aurora-admin/tools/lib/parse-string-literal-array.mjs

/* Aurora Admin —— defineEmits 数组字面量的安全解析器（构建期唯一可信实现）
 *
 * 用途：tools/precompute.mjs 阶段 C 预计算 API 表时，从 frameworks/*.vue* 的
 *      `defineEmits([...])` 抽取事件名。
 *
 * 安全背景（实测缺陷 P2 / 构建链同源缺陷）：
 *   旧实现把数组字面量交给函数构造器求值（等价于动态执行代码）。
 *   任何能改 frameworks/*.vue* 的人（内部威胁 / 投毒 PR）只要写
 *      defineEmits([1, globalThis.__pwned = 'x'])
 *   就会在**构建机**（CI 往往带 secrets）上执行任意 JS。本模块只做字面量解析，
 *   任何非字符串元素 / 未识别转义 / 裸换行 / 结构不符 → 返回 null（跳过该条，
 *   不抽取事件、不抛错、绝不执行任何内容）。
 *
 * 「同一份实现」的落地方式（重要）：
 *   本文件是 site/app.js 内联实现（extractComponentAPI 内的 isHexRun +
 *   parseStringLiteralArray）的**逐行同源副本**。浏览器端 site/app.js 是
 *   classic script（<script src="app.js">，无模块系统），且 dev-server 的
 *   公开白名单（isPublicPath）不含 tools/，因此 site/app.js 无法直接 import 本模块；
 *   强行改造会改变文档站对外行为（回归基线）。
 *   故由 tools/verify-emits-parse.mjs 的「漂移门」保证两份不漂移：
 *     两侧函数在全部 158 个真实 frameworks/*.vue 的 defineEmits 字面量上抽取结果
 *     逐例等价，并在对抗语料上同样不执行任何输入。
 *   修改任意一侧后必须同步另一侧，否则该 verify 脚本会失败。
 *
 * 零依赖：只用语言内置能力。
 */

/* 判断 s 是否恰好是 n 位十六进制（供 \xXX / \uXXXX 校验，避免 parseInt 的宽松前缀解析） */
function isHexRun(s, n) {
  if (s.length !== n) return false;
  for (var h = 0; h < n; h++) {
    var cc = s.charCodeAt(h);
    if (!((cc >= 48 && cc <= 57) || (cc >= 97 && cc <= 102) || (cc >= 65 && cc <= 70))) return false;
  }
  return true;
}

/* 解析「元素全部为字符串字面量」的数组字面量（允许空白与尾逗号）。
   只按字面量语义还原转义，绝不求值；不匹配 → null。 */
export function parseStringLiteralArray(literal) {
  if (typeof literal !== 'string' || literal.charAt(0) !== '[' ||
    literal.charAt(literal.length - 1) !== ']') return null;
  var body = literal.slice(1, literal.length - 1);
  var simple = { n: '\n', r: '\r', t: '\t', b: '\b', f: '\f', v: '\v' };
  var out = [];
  var i = 0;
  for (;;) {
    while (i < body.length && /\s/.test(body.charAt(i))) i++;
    if (i >= body.length) break;                          // 空数组 / 尾逗号结束
    var quote = body.charAt(i);
    if (quote !== "'" && quote !== '"') return null;      // 非字符串字面量 → 整体拒绝
    i++;
    var value = '';
    var closed = false;
    while (i < body.length) {
      var ch = body.charAt(i);
      if (ch === '\\') {
        var esc = body.charAt(i + 1);
        if (esc === '') return null;
        if (esc === quote || esc === '\\') { value += esc; i += 2; continue; }
        if (simple[esc] !== undefined) { value += simple[esc]; i += 2; continue; }
        if (esc === '\n' || esc === '\r') { i += 2; continue; }        // 续行
        if (esc === 'x' && isHexRun(body.substr(i + 2, 2), 2)) {
          value += String.fromCharCode(parseInt(body.substr(i + 2, 2), 16)); i += 4; continue;
        }
        if (esc === 'u' && isHexRun(body.substr(i + 2, 4), 4)) {
          value += String.fromCharCode(parseInt(body.substr(i + 2, 4), 16)); i += 6; continue;
        }
        return null;                                        // 未识别转义 → 整体拒绝
      }
      if (ch === quote) { closed = true; i++; break; }
      if (ch === '\n' || ch === '\r') return null;          // 字符串内裸换行非法
      value += ch;
      i++;
    }
    if (!closed) return null;
    out.push(value);
    while (i < body.length && /\s/.test(body.charAt(i))) i++;
    if (i >= body.length) break;
    if (body.charAt(i) !== ',') return null;                // 不是逗号分隔 → 整体拒绝
    i++;
  }
  return out;
}