javascript - 从安全性 Angular 来说，在js代码中使用eval()与在chrome控制台中输入js代码有什么不同？

Question

假设我接受一些用户输入并像这样评估它:

var a = $('input[type="text"]').val();
eval(a);

这比用户自己打开 Chrome 控制台并输入:更危险吗？

var a = 'SOMETHING BAD';
eval(a);

考虑两个代码段都在全局范围内运行。

谢谢。

Answer 1

就其本身而言，它是一样的。然而，实际上，在您的网站上运行 eval 代码要危险得多，因为其他人可能会以某种方式操纵它，最终导致有人运行恶意代码不小心。

如果有人通过控制台运行一些破坏性的东西，他们知道自己在做什么，如果出现问题，他们很清楚可能是什么原因造成的。如果事情明显出了问题，而他们没有做任何明显的事情，这对用户来说会更糟糕。