jsFiddleは危険なしにユーザー定義のJavaScriptをどのように許可して実行しますか？

Question

私はJSライブラリに取り組んできました。たとえば、ユーザーが独自のコールバックを定義してコマンドを実行できるようにするGithubのデモページをセットアップしたいと考えています。

私は「eval()は悪である」と私はスクリプトのeval()は、XSSやその他のセキュリティ上の問題につながる可能性がどのようにブラインド見ることができます知っています。私はいくつかの代替スキームを調理しようとしています。

私は本当にjsFiddleのインタラクティブ機能を楽しんでいます。私はそのソースを見てきましたが、jsFiddleが危険を伴わずにユーザ定義のJavaScriptをどのように許可して実行するかについて、誰かがここでレイアウトできることを願っていました。サードパーティ製のエコーサーバーを必要としない限り、私はこのアプローチをエミュレートすることができます。

Answer 1

jsFiddleは別のドメインのユーザースクリプトhttp://fiddle.jshell.net（try it and see）を実行します。
したがって、親フレームと対話できず、Cookieを盗むことはできません。

実際には、静的ページをJavascriptのクエリ文字列から読み取る別のドメインに配置することで、別のサーバーを使用せずにこれを実行できます。
ページタイトルを使用して返信することができます（敵もそうすることができます）。