JavaScript 未定义标识符的解析机制深度剖析：从作用域链到原型链
文档概述
本教学文档旨在深入、详尽地解释 JavaScript 中一个关键但常被忽略的机制：对于一个在作用域链中未定义的独立标识符，其解析过程为何以及如何会触发原型链的查找。本文将结合 ECMAScript 规范定义和 V8 引擎源码实现，从理论到实践，完整地揭示这一过程。
核心问题与现象
问题起源
在一个安全研究场景（CTF题目 web339）中，出现如下代码：
res.render('api', { query: Function(query)(query) });
此处，query 作为一个独立的、未声明的标识符（而非 obj.query 这样的属性），被用作 Function 构造器的参数。常见的漏洞利用方法是原型链污染，但核心疑问在于：为什么一个未定义的变量（标识符）的解析，会与原型链产生关联？
直观现象
在 Node.js 环境中运行以下代码：
// 假设我们通过某种方式（如原型链污染）给 Object.prototype 添加了 test 属性
Object.prototype.test = 123;
// 直接使用一个未声明的标识符
console.log(test); // 输出：123，而不是 ReferenceError
这个现象表明，对未定义标识符 test 的访问，成功读取到了 Object.prototype 上的 test 属性值。
理论基石：ECMAScript 规范解析
要理解上述现象，必须追溯 JavaScript 语言的根本规范——ECMAScript。
1. 标识符解析 (ResolveBinding)
当 JavaScript 引擎遇到一个标识符（如 query 或 test）时，会启动一个名为 ResolveBinding 的抽象操作。
2. 作用域链遍历 (GetIdentifierReference)
ResolveBinding 的核心是调用 GetIdentifierReference 抽象操作。其工作流程如下：
- 输入：一个词法环境 (
env) 和一个标识符名称 (name)。 - 查找过程：
a. 调用当前环境的env.HasBinding(name)方法，检查当前作用域是否已绑定该标识符。
b. 如果找到 (true)，则返回对应的引用。
c. 如果未找到 (false)，则检查当前环境是否存在外层环境 (env.OuterEnv)。
d. 如果存在外层环境，则递归地对外层环境调用GetIdentifierReference(env.OuterEnv, name)。 - 形成作用域链：这个过程通过环境的
[[OuterEnv]]链接，从内到外逐层查找，形成所谓的“作用域链”遍历。
3. 到达全局作用域：关键的转折点
当作用域链遍历到最外层，即全局环境记录 (Global Environment Record) 时，查找逻辑发生了根本性变化。
全局环境记录的结构特殊，它包含两个主要组件：
[[DeclarativeRecord]]：记录通过let、const、class等声明的变量。[[ObjectRecord]]：一个对象式环境记录，其[[BindingObject]]就是全局对象（在浏览器中是window，在 Node.js 中是global）。
全局环境记录的 HasBinding(N) 方法的规范定义为：
- 首先在
[[DeclarativeRecord]]中查找标识符N。 - 如果未找到，则转而调用
[[ObjectRecord]].HasBinding(N)。
4. 从作用域链到原型链的跳跃
[[ObjectRecord]] 的 HasBinding(N) 方法的核心是：
- 获取其绑定的全局对象 (
globalObject)。 - 调用抽象操作 HasProperty(globalObject, N)。
HasProperty 操作是导致原型链查找的直接原因。根据规范，HasProperty(O, P) 用于检查对象 O 是否拥有属性 P。这个检查不仅包括对象自身的属性，还包括通过其 [[Prototype]] 内部槽（即原型链）继承而来的属性。
理论链路总结
至此，依据 ECMAScript 规范，整个解析链路清晰如下：
未定义标识符 -> 作用域链逐级查找 -> 到达全局环境记录 -> 转为检查全局对象的属性 -> 触发 HasProperty -> 遍历原型链。
实践验证：V8 引擎源码探秘
理论需要通过实践验证。我们深入 V8 引擎源码，观察这一机制是如何具体实现的。整个过程分为编译期和执行期。
阶段一：编译期（解析与准备）
1. 作用域查找 (Scope::Lookup)
- 位置：
v8/src/ast/scopes.cc - 过程：V8 的解析器在遇到标识符时，会调用
Scope::Lookup方法。该方法通过一个while循环和scope = scope->outer_scope_来模拟作用域的上移，遍历作用域链。 - 结果：如果在任何作用域中都找不到该标识符的定义，查找最终会到达最顶层的脚本作用域 (Script Scope)。
2. 声明动态全局变量 (DeclareDynamicGlobal)
- 位置：
v8/src/ast/scopes.cc - 过程：当在脚本作用域仍未找到变量时，V8 会调用
DeclareDynamicGlobal函数。此函数并非真的声明一个变量，而是为这个“未找到”的标识符创建一个内部记录，并将其标记为特定的模式。 - 关键标签：
VariableMode::kDynamicGlobal- 位置：
v8/src/common/globals.h - 含义：根据源码注释，此模式用于标识“需要动态查找的全局变量”，例如通过
eval、with引入的变量，或者未声明的全局变量。这为执行期的特殊处理打下了伏笔。
- 位置：
阶段二：执行期（字节码解释）
1. 生成字节码 (BytecodeGenerator::BuildVariableLoad)
- 位置：
v8/src/interpreter/bytecode-generator.cc - 过程：V8 的字节码生成器为函数生成字节码。当需要加载一个变量时，它会检查该变量的位置信息。对于被标记为
kDynamicGlobal的变量，其位置被定义为LOOKUP。 - 动作：在
LOOKUP分支中，代码会调用builder()->LoadLookupGlobalSlot(variable->raw_name(), ...)。
2. 分派字节码指令 (LoadLookupGlobalSlot)
- 过程：
LoadLookupGlobalSlot函数最终会生成一条名为LdaLookupGlobalSlot的字节码指令。这条指令就是专门用于处理“需要动态查找的全局变量”的。
3. 解释器处理 (IGNITION_HANDLER)
- 位置：
v8/src/interpreter/interpreter-generator.cc - 过程：V8 的 Ignition 解释器执行到
LdaLookupGlobalSlot指令时，会调用一个辅助函数LookupGlobalSlot，该函数最终将任务派发给一个强大的运行时函数：Runtime::kLoadLookupSlot。
4. 核心解析逻辑 (Runtime::kLoadLookupSlot)
这是整个流程的终点，也是作用域链与原型链交汇的地方。
-
位置：
v8/src/runtime/runtime-scopes.cc -
过程：
a. 作用域链查找：函数内部调用LoadLookupSlot，它首先通过Handle context(isolate->context(), isolate)获取当前执行上下文。然后调用Context::Lookup(name)。
*Context::Lookup（位于v8/src/objects/contexts.cc）使用一个do...while循环，沿着context->previous()遍历所有关联的上下文（即作用域链）。
* 如果遍历完所有上下文仍未找到变量，该方法会返回全局对象作为属性的持有者 (holder)。b. 原型链查找：拿到
holder（全局对象）后，代码执行Object::GetProperty(isolate, holder, name)。
*Object::GetProperty内部封装了LookupIterator类的使用。
*LookupIterator（查找迭代器）是 V8 中用于在对象上查找属性的核心工具。其默认配置 (DEFAULT) 就包含了PROTOTYPE_CHAIN选项，意味着它会自动遍历整个原型链。
* 迭代器从全局对象开始，检查自身属性，如果没有，则沿着__proto__向上查找，直到找到属性或到达原型链尽头（null）。
5. 返回结果
- 如果
LookupIterator在原型链上找到了属性name，则返回其值。 - 这个值被一路返回，最终作为
LdaLookupGlobalSlot指令的结果，压入执行栈。 - 如果整个原型链上都找不到该属性，引擎通常会抛出
ReferenceError（尽管在非严格模式下，对全局变量的赋值可能会隐式创建它）。
V8 实现链路总结
编译期：解析器标记未定义标识符为 kDynamicGlobal -> 执行期：生成 LdaLookupGlobalSlot 字节码 -> 解释器派发至 Runtime::kLoadLookupSlot -> 先进行作用域链查找（返回全局对象） -> 再在全局对象上触发 Object::GetProperty -> 使用 LookupIterator 遍历原型链 -> 返回结果或错误。
知识总结与教学意义
核心结论
JavaScript 对未定义标识符的解析，在作用域链的尽头（全局作用域），会无缝地衔接并转换为对全局对象的属性查找。而对对象属性的查找，根据语言定义，必然包含对原型链的遍历。这就是为什么污染 Object.prototype 可以影响未定义变量访问的根本原因。
关键知识点
- 两大链式结构：理解 JavaScript 必须清晰区分作用域链（用于变量查找，基于词法环境）和原型链（用于属性查找，基于对象继承）。
- 全局作用域的双重性：全局作用域是连接两大链的桥梁。它既是最外层的作用域，其环境记录又关联着全局对象。
- 规范与实现的对应：ECMAScript 规范定义了语言行为，而 V8 等引擎通过复杂的内部机制（如字节码、运行时函数）高效地实现了这些行为。
- 安全意义：此机制是原型链污染攻击能够影响看似无关代码的关键所在。在代码审计时，需要特别注意对未定义变量的使用（如动态代码执行、未声明的全局变量），它们可能成为污染 payload 的入口。
通过本文档的剖析，您应该对 JavaScript 底层标识符解析机制有了深刻而完整的认识。