Perché eval non è sicuro in javascript?

Question

Eventuali duplicati:
Why exactly is eval evil?

leggo persone sostengono che eval non è sicuro quando viene eseguito su di codice arbitrario input dell'utente. Lo capisco in altri linguaggi che funzionano sul server che accede al filesystem, ecc. Tuttavia, perché questo è importante quando si esegue il codice in un browser? Dopotutto, non puoi semplicemente accendere Firebug e scrivere comunque uno script arbitrario che vuoi? Allora, come è eval qualsiasi diverso?

Answer 1

Il pericolo di eval aumenta la sua brutta testa solo quando stai servendo una sceneggiatura scritta da alice a utente bob per il browser di bob per valutare.

ad es. se bob immette la sua password nella tua pagina, alice potrebbe aver scritto un keylogger nell'input dell'utente che è eval ed organizzare la codifica dei dati in uno script che bob (inconsapevolmente) invierà per essere servito ad Alice. Questo è, come ha suggerito @ Hunter2 nei commenti, un attacco XSS.

Se non servite ad altre persone, lei ha ragione nel ritenere che equivale a sparare fino Firebug

Answer 2

non credo che è pericoloso, per la maggior paranoico eseguire eval = null;