пользователь может задать какую-то предобработку этих данных в виде передачи функции js. можно как-то мне ограничить доступ этой функции только ее локальным окружением?
Ну как-то можно, наверное
На Хабре год или два назад была неплохая статья про изоляцию исполнения внешнего кода в жс. Возможно даже конкретно в ноде Вводных данных мало, конечно, но всё равно можешь попробовать поискать
require vm
Обсуждают сегодня