javascript - 评估用户文本。有什么风险？

Question

我有一个带有文本字段的 html 页面，供用户放置如下表达式:

(x+23)*2
((x-y)*(x+y))
x*2/z+y

用户输入它们，我使用“eval”方法来执行它们。在调用 eval 之前，我检查没有任何不可靠的地方(比如试图定义一个函数或类似的东西)。

我觉得我应该没事。但是我是否引入了一个安全漏洞，因为我在用户的字符串上调用了“eval”。有什么风险？

Answer 1

在浏览器插件和javascript调试工具的帮助下，客户端无论如何都可以调用其客户端上的javascript。如果您尝试在服务器上运行用户定义的代码，那将是另一回事，那将是非常危险的。