警告: このコンストラクターに渡された引数は、JavaScript として動的に構文解析され実行されます。このような API はインジェクションシンクと呼ばれ、クロスサイトスクリプティング (XSS) 攻撃の経路となる可能性があります。

文字列の代わりに TrustedScript オブジェクトを常に渡し、信頼型を強制することで、このリスクを軽減できます。

詳しくはセキュリティ上の注意事項をご覧ください。

const sum = new Function("a", "b", "return a + b");

console.log(sum(2, 6));
// 予想される結果: 8

new Function(functionBody)
new Function(arg1, functionBody)
new Function(arg1, arg2, functionBody)
new Function(arg1, arg2, /* …, */ argN, functionBody)

Function(functionBody)
Function(arg1, functionBody)
Function(arg1, arg2, functionBody)
Function(arg1, arg2, /* …, */ argN, functionBody)

メモ: Function() は new があってもなくても呼び出すことができます。どちらも新しい Function インスタンスを作成します。

`function anonymous(${args.join(",")}
) {
${functionBody}
}`;

const recursiveFn = new Function(
  "count",
  `
(function recursiveFn(count) {
  if (count < 0) {
    return;
  }
  console.log(count);
  recursiveFn(count - 1);
})(count);
`,
);

new Function("/*", "*/) {");
// SyntaxError: Unexpected end of arg string
// "function anonymous(/*) {*/) {}" にはならない

const untrustedCode = "alert('Potentially evil code!');";
const adder = new Function("a", "b", untrustedCode);

Content-Security-Policy: require-trusted-types-for 'script'; script-src '<your_allowlist>' 'trusted-types-eval'

// この例は JavaScript コンソールで直接実行することができます

// 2 つの引数を取り、その合計を返す関数を生成します
const adder = new Function("a", "b", "return a + b");

// 関数を呼び出します
adder(2, 6);
// 8

// function コンストラクターは、セミコロンで区切られた複数の文を受け取ることができます。関数式では、関数名付きの return 文が要求されます。

// new Function が呼び出されていることに注目してください。これは、作成した関数をその直後に呼び出せるようにするためです。
const sumOfArray = new Function(
  "const sumArray = (arr) => arr.reduce((previousValue, currentValue) => previousValue + currentValue); return sumArray",
)();

// 関数を呼び出す
sumOfArray([1, 2, 3, 4]);
// 10

// 作成時に new Function を呼び出さない場合は、Function.call() メソッドを使用して呼び出せます。
const findLargestNumber = new Function(
  "function findLargestNumber (arr) { return Math.max(...arr) }; return findLargestNumber",
);

// 関数の呼び出し
findLargestNumber.call({}).call({}, [2, 4, 1, 8, 5]);
// 8

// 関数宣言には return 文は必要ない
const sayHello = new Function(
  "return function (name) { return `Hello, ${name}` }",
)();

// 関数を呼び出し
sayHello("world");
// Hello, world

MDN の改良に協力

このページは 2026年11月11日 に MDN の貢献者によって最終更新されました。