ckplayer-plus 1.0.8 → 1.1.0

package/README.md

@@ -108,7 +108,7 @@ React：
 
 ```vue
 <template>
-  <CkPlayer :video="url" poster="/poster.png" height="400px" @play="onPlay" />
+  <CkPlayer :video="url" :seek="16" poster="/poster.png" height="400px" @play="onPlay" />
 </template>
 
 <script>
@@ -125,6 +125,8 @@ export default {
 </script>
 ```
 
+断点续播：`seek` 用 `:seek` 或 `options.seek` 在创建时传入；**不要**在 `@ready` 里再 `player.seek(16)`，否则会重复加载 HLS、取消 `.ts` 分片导致卡住。
+
 SSR（Nuxt 等）请用 `<ClientOnly>`，仅在浏览器初始化。
 
 ## React

package/dist/ckplayer.js

@@ -141,7 +141,7 @@
 		cdnFallback:true// getPath 失败时是否回退到 jsDelivr（内网可设 false，并配置 pluginPath）
 	};
 	// 打包时替换为真实版本；用于 bundler 下 getPath 失效时的 CDN 回退
-	var ckplayerPlusDefaultCdn='https://cdn.jsdelivr.net/npm/ckplayer-plus@1.0.8/dist/';
+	var ckplayerPlusDefaultCdn='https://cdn.jsdelivr.net/npm/ckplayer-plus@1.1.0/dist/';
 	function ckplayerEmbed(videoObj){
 		/*
 		 * rightMenu
@@ -213,6 +213,33 @@
 		var cookieArray=[];//保存当前所有记录
 		var focusPause=true;//失去焦点前是否是暂停状态
 		var existenceObj=false;//是否使用源码里已有的dom
+		/*
+		 * invokeGlobalFn
+		 * 功能：安全调用全局函数名（替代 eval(name+'()')），仅允许合法标识符路径，避免任意代码执行
+		 * @expr 形如 "fnName" 或 "a.b.c" 的全局函数名（可含尾随括号）
+		*/
+		function invokeGlobalFn(expr){
+			if(typeof expr!=='string'){
+				return;
+			}
+			var name=expr.replace(/\(\s*\)\s*;?\s*$/,'').trim();
+			if(!/^[A-Za-z_$][\w$]*(\.[A-Za-z_$][\w$]*)*$/.test(name)){
+				return;
+			}
+			var parts=name.split('.');
+			var ctx=(typeof window!=='undefined')?window:this;
+			var fn=ctx;
+			for(var i=0;i<parts.length;i++){
+				if(fn==null){
+					return;
+				}
+				ctx=fn;
+				fn=fn[parts[i]];
+			}
+			if(typeof fn==='function'){
+				return fn.call(ctx);
+			}
+		}
 		/*
 		 * into
 		 * 功能：初始化，调用播放器则首先调用该函数
@@ -417,7 +444,7 @@
 			}
 			var allowCdn=!vars || vars['cdnFallback']!==false;
 			var cdn=(typeof window!=='undefined' && window.ckplayerPlusCdn) ? window.ckplayerPlusCdn : ckplayerPlusDefaultCdn;
-			if(!allowCdn || !cdn || cdn.indexOf('1.0.8')>-1){
+			if(!allowCdn || !cdn || cdn.indexOf('1.1.0')>-1){
 				// 避免占位版本或显式关闭 CDN 时请求坏地址；交给相对路径或业务 pluginPath
 				return folder+'/'+file;
 			}
@@ -2711,7 +2738,7 @@
 				}
 				else if(valType(ad['front']['closeButtonClick'])=='string'){
 					try{
-						eval(ad['front']['closeButtonClick']+ '()');
+						invokeGlobalFn(ad['front']['closeButtonClick']);
 					}
 					catch(event){console.error(event);}
 				}
@@ -3608,7 +3635,7 @@
 							fun();
 						}
 						if(valType(fun)=='string'){
-							eval(fun+ '()');
+							invokeGlobalFn(fun);
 						}
 					}
 					else{
@@ -3641,7 +3668,7 @@
 						fun();
 					}
 					if(valType(fun)=='string'){
-						eval(fun+ '()');
+						invokeGlobalFn(fun);
 					}
 				}
 				else{
@@ -4201,7 +4228,7 @@
 					var a=createlJsLink(m['title']);
 					a.attr('data-click',m['click'].toString());
 					a.click(function(){
-						eval($(this).attr('data-click')+'()');
+						invokeGlobalFn($(this).attr('data-click'));
 						C['menu'].hide();
 					});
 					li.append(a);
@@ -4936,7 +4963,7 @@
 						vars['next']['click']();
 					}
 					else if(valType(vars['next']['click'])=='string'){
-						eval(vars['next']['click']+'()');
+						invokeGlobalFn(vars['next']['click']);
 					}
 				}
 				if('link' in vars['next']){
@@ -7034,7 +7061,7 @@
 				if(!isRetry && (!vars || vars['cdnFallback']!==false)){
 					var cdn=(typeof window!=='undefined' && window.ckplayerPlusCdn) ? window.ckplayerPlusCdn : ckplayerPlusDefaultCdn;
 					var m=String(file).match(/\/(hls\.js|flv\.js|mpegts\.js|language)\/([^/?#]+)(?:[?#].*)?$/i);
-					if(cdn && cdn.indexOf('1.0.8')===-1 && m){
+					if(cdn && cdn.indexOf('1.1.0')===-1 && m){
 						if(cdn.slice(-1)!=='/'){
 							cdn+='/';
 						}
@@ -7204,7 +7231,14 @@
 				if (xhr.status === 200) {
 					if (obj.dataType === 'json') {
 						try {
-							successFun(eval('(' + xhr.responseText + ')')); //回调传递参数
+							var jsonData;
+							try {
+								jsonData = JSON.parse(xhr.responseText);
+							}
+							catch(parseErr) {
+								jsonData = eval('(' + xhr.responseText + ')');
+							}
+							successFun(jsonData); //回调传递参数
 						}
 						catch(event) {
 							successFun(null);