为什么 JavaScript 中的 `eval` 被禁止使用？_js eval 函数安全风险-优快云博客

在 JavaScript 中，eval() 是一个内置函数，它的作用是将传入的字符串当作 JavaScript 代码执行。尽管它可以在某些情况下提供便捷的功能，但由于它存在多种潜在的安全隐患和性能问题，它的使用被广泛地不推荐，甚至在一些项目中被严格禁止。

为什么要禁止使用 `eval()`？

安全问题：
- eval() 执行的代码是由字符串动态传入的。如果传入的字符串包含恶意代码（如跨站脚本攻击 XSS），攻击者可以借此执行任意的 JavaScript 代码，导致严重的安全漏洞。
- 例如，如果用户输入了恶意的代码并通过 eval() 执行，它可能窃取敏感信息或执行其他恶意操作。
性能问题：
- 使用 eval() 会让 JavaScript 引擎的优化变得困难。因为 JavaScript 引擎不能预先知道 eval() 内部代码的结构，它无法进行常规的优化手段（如代码的静态分析、内联缓存等）。这会导致代码执行的效率低下。
调试困难：
- eval() 执行的代码不容易被调试。由于它执行的是动态生成的代码，错误跟踪和堆栈追踪也会变得复杂，使得调试和维护变得更加困难。
作用域污染：
- 使用 eval() 执行的代码会在调用它的作用域内进行求值，这意味着它可以修改当前作用域中的变量和函数。这不仅增加了代码的复杂性，也增加了潜在的错误发生的机会。

实际项目中的 `eval()` 风险示例

假设你有一个在线表单，用户可以在表单中输入 JavaScript 代码并让该代码在你的应用中执行。你使用 eval() 来动态执行用户输入的代码：

function runUserCode(userCode) {
  // 用户输入的代码通过 eval() 执行
  eval(userCode);
}

const userInput = prompt("请输入你的代码：");
runUserCode(userInput);

如果用户在 prompt() 中输入以下恶意代码：

alert("This is an XSS attack!");
document.location = "http://malicious-site.com";

这段代码会被 eval() 执行，可能会引发一个弹窗，甚至导致用户被重定向到恶意网站。

代替 `eval()` 的更安全方案

为了避免以上的风险，现代 JavaScript 提供了多个替代 eval() 的方法：

JSON 解析与字符串化：
如果你的目标是解析 JSON 数据，不要使用 eval()。使用 JSON.parse() 和 JSON.stringify() 来处理 JSON 数据。eval() 可以解析 JSON 字符串，但它也可能执行非 JSON 内容，导致安全问题。
```
// 不安全的使用
const jsonString = '{"name": "Alice", "age": 30}';
const jsonObject = eval('(' + jsonString + ')');

// 推荐的使用
const jsonObject = JSON.parse(jsonString);
```
Function 构造函数：
如果你确实需要动态执行某些代码，使用 Function 构造函数是更安全的选择。它不会访问外部作用域，从而减少了对当前环境的影响。
```
const code = 'return 2 + 2;';
const fn = new Function(code);
console.log(fn()); // 输出 4
```
与 eval() 不同，Function 只会在全局作用域内执行代码，并且没有对当前作用域的影响。
使用 setTimeout 和 setInterval：
在某些情况下，如果需要延迟执行代码，可以使用 setTimeout() 或 setInterval()，它们允许执行字符串形式的代码，但同样存在一定的风险，因此仍需谨慎使用。
```
setTimeout(() => {
  console.log('This is a delayed message');
}, 1000);
```

示例：如何在一个真实项目中禁用 `eval()`

假设你在构建一个 Web 应用，且需要处理用户输入的数据。如果你不对用户的输入进行任何过滤或清理，使用 eval() 就会带来很大的安全隐患。为了避免这种情况，采用更安全的处理方式，例如：

// 不安全的做法
function executeUserCode(userCode) {
  eval(userCode); // 存在安全隐患
}

// 安全的做法
function executeUserCodeSafely(userCode) {
  try {
    const result = new Function('return ' + userCode)();
    console.log(result);
  } catch (error) {
    console.error('Error executing user code:', error);
  }
}