中HT-RUNTIME-001动态代码执行
置信度 中L2 · 静态分析
lib/index.js:258GitHub
258new Function(
模型研判功能所需
该 new Function 位于打包进来的第三方 schemastery 库（vendor/schemastery）中，用于反序列化 schema.callback 字符串为函数，是校验库固有机制，非插件为 @file 功能自写逻辑，且有 typeof 检查与 try/catch 包裹。
动态字符串在插件权限下变成代码，使静态审查和输入边界难以成立。
修复建议使用静态模块和受约束的配置解析器，避免执行动态字符串。
