为什么 function.toString() 输出“[native code]”，而登录到控制台直接显示函数的源代码？

如何解决为什么 function.toString() 输出“[native code]”，而登录到控制台直接显示函数的源代码？

我决定为 YouTube 实时聊天创建一个用户脚本。代码如下：

const toString = Function.prototype.toString

unsafeWindow.setTimeout = function (fn,t,...args) {
    unsafeWindow.console.log(fn,fn.toString(),toString.call(fn))
    unsafeWindow.fns = (unsafeWindow.fns ?? []).concat(fn)
    return setTimeout(fn,...args)
}

现在看看输出的样子：

某些函数的输出是可预测的，但看看其他函数！当你只执行 console.log 时，你会看到函数体，但如果你调用 fn.toString()，你会看到 function () { [native code] }。

但是为什么呢？脚本在页面之前加载，因此 YouTube 的脚本无法替换方法。

解决方法

这是因为那些函数已经传递给 Function.prototype.bind。

> (function () { return 42; }).toString()
'function () { return 42; }'
> (function () { return 42; }).bind(this).toString()
'function () { [native code] }'

bind 方法将任意函数对象转换为所谓的绑定函数。调用绑定函数与调用原始函数的效果相同，除了 this 参数和一定数量的初始位置参数（可能为零）在创建绑定时将具有固定的值功能。从功能上讲，bind 大致相当于：

Function.prototype.bind = function (boundThis,...boundArgs) {
    return (...args) => this.call(boundThis,...boundArgs,...args);
};

当然，上面的内容在字符串转换后会产生不同的值。根据 ECMA-262 11th Ed.,§19.2.3.5 ¶2:

，绑定函数被指定为具有与原生函数相同的字符串转换行为

2.如果 func 是绑定函数的外来对象或内置函数对象，则返回 func 的依赖于实现的 String 源代码表示。表示必须具有 NativeFunction 的语法。 […]

[…]

NativeFunction：

function PropertyName _{[~Yield,~Await]opt} ( FormalParameters _{[~Yield,~Await]} ) { [本机代码] }

当直接将函数打印到控制台（而不是字符串化）时，实现不受任何规范的约束：它可以以任何方式在控制台中显示函数。 Chromium 的控制台在要求打印绑定函数时，为了方便起见，只会显示原始未绑定函数的源代码。

---

证明这确实发生在 YouTube 的案例中有点麻烦，因为 YouTube 的 JavaScript 被混淆了，但并不是特别困难。我们可以打开 YouTube 的主站点，然后进入开发者控制台并安装我们的陷阱：

window.setTimeout = ((oldSetTimeout) => {
    return function (...args) {
        if (/native code/.test(String(args[0])))
            debugger;
        return oldSetTimeout.call(this,...args);
    };
})(window.setTimeout);

我们应该很快就会看到 debugger 语句。我在这个函数中击中了它：

g.mh = function(a,b,c) {
    if ("function" === typeof a)
        c && (a = (0,g.D)(a,c));
    else if (a && "function" == typeof a.handleEvent)
        a = (0,g.D)(a.handleEvent,a);
    else
        throw Error("Invalid listener argument");
    return 2147483647 < Number(b) ? -1 : g.C.setTimeout(a,b || 0)
}

g.D 函数看起来特别有趣：它似乎是用第一个参数 a 调用的，它大概是一个函数。看起来它可能会在幕后调用 bind。当我要求控制台检查它时，我得到了这个：

> String(g.D)
"function(a,c){return a.call.apply(a.bind,arguments)}"

所以虽然这个过程有点复杂，但我们可以清楚地看到这确实发生了。