javascript - 我应该插入 <script> 还是应该评估？

Question

我在一个字符串中有 JavaScript 代码，它是我根据特定条件(特定用户操作的结果)动态获得的。

现在我想知道我是否应该简单地 eval它(会工作，经过测试)或者我应该插入 <script>在 DOM 中，其中包含字符串的值。 XSS 风险部分对我来说很清楚(脚本绝对不使用用户输入的任何内容)。想知道由于插入 <script> 而引起的范围相关问题(如果有的话)标签。

Answer 1

制作脚本元素并通过 eval 插入 javascript 没有安全优势。使用 eval 意味着它可以访问任何局部变量，因此只有当您的 evald 代码需要访问局部变量时，范围界定才是问题。