Proč je eval tak nebezpečný?

Reaguji na TomaseJ:
Sám o sobě nebezpečný není.
1) Při obzvláště nešikovném použití může představovat XSS díru — třeba když se nějaký vstup od uživatele dostane přímo do řetězce volaného evalem, pak by nějaká zlá stránka mohla tento vstup nasimulovat a jménem uživatele provádět nepěkné věci.
2) Při běžně nešikovném použití vypadá hloupě, třeba když ho někdo pustí na value s cílem převést řetězec na číslo. To je nebezpečné zejména pro reputaci programátora :-)
3) Skoro ve všech zbývajících případech je eval jen zbytečný a neefektivní. Což je též důvod k jeho nepoužívání.

„Jak eval z JS ublíží mému webu?“
Velmi pravděpodobně nijak. Ale nejspíš mu ani nepomůže.

Já používám eval jen na AJAXem stahovaný JSON.

TomasJ:
Why is using the JavaScript eval function a bad idea?

Body 1 a 3 zhruba odpovídají bodům 1 a 3 v Chamurappiho příspěvku.

Bod 2, jelikož je méně zřejmé, jaký kód se vlastně nakonec provede, znesnadňuje to ladění a může to být zdrojem nepříjemných a těžko dohledatelných chyb.

TomasJ:
„kvůli zmiňovanému JSON“
Primárně bych zkoušel JSON.parse a teprve při nepodpoře bych se uchýlil k evalu.

Reaguji na Radka9:
Když pak narazí na JSON, který nefunguje s evalem (kvůli znaku U+8232 U+2028, spletl jsem si číselnou soustavu), nebo na JSON, který nefunguje s JSON.parse (třeba kvůli JS komentáři), bude mít kód fungující jen v části prohlížečů => hůř odhalí problém.

Chamurappi:
„který nefunguje s evalem (kvůli znaku U+8232)“
Silně pochybuji, že v reálných datech se kdy objeví.

„třeba kvůli JS komentáři“
V JSONu, bereme-li ho jako formát pro data, nemá podle specifikace JS komentář co dělat.

Reaguji na Radka9:
„Silně pochybuji, že v reálných datech se kdy objeví.“
Bavíme se o všech možných situacích, kdy se JSON může používat, ne o nějakém specifickém případu. Je tedy jisté, že se v reálných datech objeví úplně všechno, co se objevit může.

„V JSONu, bereme-li ho jako formát pro data, nemá podle specifikace JS komentář co dělat.“
Podle specifikace JS ale může být v zápisu objektu komentář. (Což je mimochodem slabina toho standardizovaného JSONu, že na rozdíl od XML nepodporuje žádný druh komentářů.)
Také můžou být v souladu s pravidly JS názvy členů zapsané bez uvozovek, s čímž se JSON.parse nepopere. Dokonce mu vadí i apostrofy.

Připadá mi velmi smutné, jak je standardizovaný JSON vychýlený od standardního zápisu JS objektu. Dělá to zbytečný zmatek. I když vyhynou prohlížeče neznající JSON.parse, při technice JSONP se vždy de facto evaluje, takže ta jemná nebezpečná rozdílnost přežije navždy. Nechci-li ji nikdy řešit, můžu JSON.parse zcela přehlížet.

Chamurappi:
„Také můžou být v souladu s pravidly JS názvy členů zapsané bez uvozovek“
No ale nie je to veľmi dobrý nápad - môže sa stať, že názov člena bude kľúčové slovo JS a vtedy to fungovať nebude.

Chamurappi:
Pokud zpracovávám JSON, který si sám generuji na serveru (např. pomocí PHP), tak nemám problém zajistit, aby byl kompatibilní s eval i JSON.parse. Pokud zpracovávám JSON z externího zdroje, na kterým nemám kontrolu, tak použití eval představuje bezpečností problém.

„Připadá mi velmi smutné, jak je standardizovaný JSON vychýlený od standardního zápisu JS objektu.“
Mně to zase dělá radost, protože parser JSONu je o to jednodušší a rychlejší, protože nemusí řešit nekonzistence (tedy až na 1e3 vs. 1E3 a bíle znaky).

Reaguji na _es:
Jo, s tím se musí trochu počítat. I když v ECMAScriptu 5 už tento problém neexistuje.


Reaguji na Jana Tvrdíka:
Velmi často zpracovávám data ze zdroje, který je z pohledu aplikace důvěryhodný, ale není přímo pod mojí kontrolou kvůli dělbě práce.

„tak použití eval představuje bezpečností problém“
Krátkým regulárem jde prověřit, že v řetězci není nic nebezpečného.

„nemusí řešit nekonzistence (tedy až na 1e3 vs. 1E3 a bíle znaky)“
Přihozením apostrofů a volitelnosti uvozovek kolem názvu člena by složitost formátu už moc výrazně nevzrostla. Existoval by pak jen jeden JSON.
Nebo když už to chtěli standardizovat trochu jinak, mohli to i nazvat jinak. Třeba JLON: JSON-like Object Notation :-)

Chamurappi:
„I když v ECMAScriptu 5 už tento problém neexistuje.“
Zaujímavé, nevedel som. Otestoval som kód:
V IE8 to zachytí výnimku, vo Firefoxe, Opere a Chrome (nejaké novšie verzie) nie.

„Krátkým regulárem jde prověřit, že v řetězci není nic nebezpečného.“
Pri dlhšom zápise hodnoty to bude asi zbytočne zaťažovať procesor.