6

Чем опасна функция eval в JavaScript на клиентской стороне? Кроме того, что сложнее ее отлаживать не вижу недостатков. Насчет других языков тот же Python или PHP то там все понятно.

6
  • 2
    Не считая, что потенциально медленнее, позволит выполнить любой код, и если не следить за происхождением передаваемой в eval строки, возможны дыры в безопасности. 21 июн 2016 в 0:30
  • 1
    О какой безопасности идет речь? Ведь пользователь и так может выполнять в консольке код. Или я что-то не понимаю?
    – Node_pro
    21 июн 2016 в 0:52
  • 3
    Код, который там выполняется, выполняется от имени пользователя. Если это зловредный код, он может, например, от имени пользователя написать письмо (если мы находимся в контексте почтового web-клиента).
    – VladD
    21 июн 2016 в 1:02
  • @Node_pro к примеру какие-то персональные данные пользователя уйдут на сторону. 21 июн 2016 в 1:17
  • 2
    @Node_pro можно и через консоль, но это уже явные действия пользователя, вредоносный код сам по себе не откроет консоль и не запустит себя там. 21 июн 2016 в 2:29

1 ответ 1

1
  • eval требует компиляции, каждый раз когда вызывается, потому он замедляет работу скрипта
  • Вредоносный скрипт может найти ​​путь для передачи аргумента в eval и выполнить любой зловредный код БЕЗ ведома пользователя
  • eval это плохой подход. Это официальный костыль, всегда есть выход безопаснее и удобнее. Как в хорошей литературе пишут обычно "Если вы используете eval или goto - значит вы что-то делаете не так"
  • eval наследует контекст в котором он вызван, каждый раз когда вызывается
  • eval пытается получить доступ ко всем переменным, до которых может дотянуться, со всеми вытекающими

В любом случае, самая большая проблема eval'а это потенциальная дырища в безопасности, размером с вселенную. :) За всем не уследить.

12
  • контекст внутри eval зависит от способа вызова, он не всегда наследует текущий
    – Grundy
    24 июн 2016 в 9:55
  • Если вы используете eval или goto - значит вы что-то делаете не так - как-то слишком категорично
    – Grundy
    24 июн 2016 в 9:55
  • На счет замедления, без тестов тоже нельзя ничего сказать, причем тестов для разных браузеров
    – Grundy
    24 июн 2016 в 9:56
  • @Grundy А где это написано? Я в спецификациях читал, что eval всегда биндит текущий скоуп, в новом ES в том числе, не важно как он вызван.
    – SlyDeath
    24 июн 2016 в 10:50
  • 1
    @Grundy Конечно категорично. Есть правила писанные кровью. Если программист не может писать код без функций, которые трудно отлаживать или которые создают 99-ти процентный риск ошибок или дыр безопасности, то с этим программистом что-то не так.
    – SlyDeath
    24 июн 2016 в 10:50

Ваш ответ

By clicking “Отправить ответ”, you agree to our terms of service and acknowledge you have read our privacy policy.

Всё ещё ищете ответ? Посмотрите другие вопросы с метками или задайте свой вопрос.