javascript - 这安全吗？ eval 或 new 函数用于简单算术表达式

Question

我听说过很多关于 eval 的坏话，所以我什至从未尝试过使用它。然而今天我遇到的情况似乎是正确的答案。

我需要一个可以通过组合变量进行简单计算的脚本。例如，如果 value=5 且 max=8，我想评估 value*100/max。值和公式都将从外部源检索，这就是我关心 eval 的原因。

我已经使用一些示例代码设置了 jsfiddle 演示:

http://jsfiddle.net/6yzgA/

这些值使用 parseFloat 转换为数字，所以我相信我在这里很安全。公式中的字符再次匹配此正则表达式:

regex=/[^0-9\.+-\/*<>!=&()]/, // allows numbers (including decimal), operations, comparison

我的问题:

• 我的正则表达式过滤器是否可以保护我免受任何攻击？
• 在这种情况下有什么理由使用 eval 与 new Function 吗？
• 还有其他更安全的方法来评估公式吗？

Answer 1

由于您没有发送任何内容到您的服务器，也没有在其他人的系统上使用任何内容，因此可能发生的最糟糕的情况就是用户使自己的浏览器崩溃，仅此而已。在这里使用 eval 并没有什么不安全的地方，因为一切都发生在用户端。