Lua 中是否可以仅通过变量定义来执行代码注入？

作为一般规则，如果你需要问自己是否需要对输入进行清理，正确答案就是“是”。

对于这种特殊情况，如果你直接将用户的字符串复制/粘贴到 Lua 源代码文件中，即使在引号中也可以执行任意代码。这甚至并不特别困难；他们可以提供 some text"; my_code = 20; last = "end of string。

最好的清理方法是使用 [[...]] 语法的长形式字面字符串。但是，即使如此也可能会被破坏，所以您需要搜索给定字符串中重复出现的 = 字符序列。每次找到一个序列时，请注意该序列中有多少个 = 字符。搜索结束后，在字面字符串中插入一个 不是 在用户字符串中找到的长度之一的 = 字符数。

当然，Lua 的内部实现可能对长形式字面字符串中的 = 序列长度有一些限制。在这种情况下，外部用户可以通过强制您使用比实现支持的更长的序列来_破坏_你的代码。但它无法导致任意代码执行；你只会得到一个编译错误。