javascript - javascript eval 会带来什么问题

Question

我试过谷歌搜索但没有得到非常具体的答案.. 再一次，我可能没有使用正确的关键字.. 有人可以指出 javascript eval 可能导致的“安全”问题吗？有例子非常好。如果您可以指向执行相同操作的现有 Web 资源，也将执行此操作。

编辑:我只需要评估的安全隐患。

Answer 1

eval() 可能是设计不佳的标志。例如，有时人们使用它来访问对象属性，因为他们不知道您可以使用 [] 表示法，即 eval('obj.' + prop_name)。如果您 eval() 用户内容，它也是 XSS 漏洞的来源，因为它可能被解释为 JS。它也往往比替代方案慢。

这将是使用 eval() 解析 JSON 时最基本的 XSS 示例:

eval({"a": "b", 'c': "d" + alert("xss") + ""})

要获得这样的漏洞，您必须懒惰地构建 JSON 而不是转义引号，但是有更复杂的示例，并且使用像 Douglas Crockford (json.org) 这样的专门库可以避免它。