Dlaczego eval jest niebezpieczne w javascript?

Question

Powiel możliwe:
Why exactly is eval evil?

czytałem ludzie twierdzą, że eval jest niebezpieczna, kiedy uruchamiane na niepożądanego kodu wejściowego użytkownika. Rozumiem to w innych językach, które działają na serwerze, który ma dostęp do systemu plików itp. Dlaczego jednak ma to znaczenie przy wykonywaniu kodu w przeglądarce? W końcu, czy nie możesz po prostu odpalić Firebuga i napisać dowolnie wybranego skryptu? Więc jak eval jest inny?

Answer 1

Niebezpieczeństwo, że eval ujawni swoją brzydką głowę podczas serwowania skryptu napisanego przez alice do użytkownika bob dla przeglądarki boba do eval.

np. jeśli bob wpisuje swoje hasło na twojej stronie, alicja mogłaby napisać keylogger na wejściu użytkownika, a następnie zaaranżować zakodowanie danych w skrypcie, który bob (nieświadomie) zostanie przesłany do alicja. Jest tak, jak @ Hunter2 zasugerował w komentarzach, atak XSS.

Jeżeli nie służą do innych ludzi, masz rację zakładając, że jest równoważny do rozpalania Firebug

Answer 2

nie sądzę, że jest niebezpieczne, dla najbardziej paranoiczne wykonać eval = null;