javascript - eval(T) vs x = 新函数(T)； X()

Question

关闭。此题需要 details or clarity 。目前不接受答案。

---

想要改进这个问题吗？通过 editing this post 添加详细信息并澄清问题.

已关闭 3 年前。

Improve this question

Mozilla 说 eval (T)很危险。怎么样 x = new Function(T);x()危险性较小？我有效地使用 AJAX 传递一些代码供 JAVASCRIPT 执行eval (T)好像不行，所以我切换了代码(实际上是传递了错误的代码)

此处不相关，但最终做到了 alert('code='+T)帮助发现问题

但是，如果想让更安全一点，我想我可以添加:

  T_safer="try{"+T+"}catch (e){alert(e.message+\n code="+T+")}"
  eval (T_safer)  ..... or x =  new Function(T_safer);x()

Answer 1

事实并非如此。

eval和new Function几乎同样危险。

了解eval引起的安全漏洞和new Function ，阅读Why is using the JavaScript eval function a bad idea? .

基本问题是，在评估其他人提供的字符串时，您不能相信该用户始终会采取适当的行动。这称为注入(inject)攻击。攻击者可以欺骗您的页面做他们想做的任何事情。

即使您编写了要执行的代码，您仍然不应该使用 String ， 任何一个。几乎在所有情况下，您都可以使用 function expression通过 Function而不是String 。这很可能执行得更快，并且更具可读性，因为它看起来像代码而不是字符串。比较以下定义的格式:

T1 = new Function('a', 'b', 'alert("hi");return a + b');
T2 = function(a, b) { alert("hi");return a + b }

看看第二个函数体内的所有标记如何正确突出显示？这是一切进展顺利的迹象。

<小时/>

你想做什么？

I effectively used AJAX to pass some code for JAVASCRIPT to execute

有一种更好的方法可以让浏览器从服务器执行一些可信代码:a <script src=...>元素。您可以动态添加这些。那么你就不必加载(可能巨大的)String有效负载并将其传递给 eval管道，您的浏览器就可以开始做智能事情 code caching .

<小时/>

eval 之间有什么细微差别和new Function ？

在安全方面，eval和new Function具有相同的缺陷。唯一的区别是 new Function 中的代码不会在您的本地范围内形成闭包，因此通过阻止注入(inject)的代码访问您的本地变量，安全性的提高非常微。但这确实没什么值(value)。