动态解析代码-修复建议

在任何时候，都应尽可能地避免动态的解析源代码。如果程序的功能要求对代码进行动态解析，应用程序不应该直接执行和解析未验证的用户输入。建议创建一份合法操作和数据对象列表，用户可以指定其中的内容，并且只能从中进行选择。
例如：下面代码片段中，先判断用户提供的代码是否安全，再通过ScriptEngine执行用户提供的代码。

ScriptEngineManager scriptEngineManager = new ScriptEngineManager();
ScriptEngine scriptEngine = scriptEngineManager.getEngineByExtension("js");
userOps = request.getParameter("operation");
Object result = null;
if(isSafeCode(userOps)){
    result = scriptEngine.eval(userOps);
}