27

Conheci há pouco tempo essa função e me surpreendi com o poder dela, me foi de grande utilidade, porém depois de utilizá-la ouvi comentários de que não era seguro.

Gostaria de saber em situação esse uso pode causar problemas de segurança e se existe alternativa para o eval() quando se deseja gerar código javascript dinamicamente, mas de maneira mais segura.

Exemplo de uso por minha aplicação:

var valPeriodos = "";
var next = ".next()";

for (i = 1; i <= numPeriodos; i++) {
    eval('var tdVal' + i + '=$(this).parent().parent().find(".vp1").parent()' + valPeriodos + ';');
    valPeriodos += next;
    eval('val_' + i + ' = tdVal' + i + '.find(".valInputOn").val()');
}

Nesse código eu pego valores de uma tabela dinamica que possui colunas de acordo com o numero de periodos e as guardo em variáveis.

5
  • Por favor, inclua alguns exemplos em que você acha que o eval foi de grande utilidade. Assim dá pra apontar os prós e contras mais concretamente. O problema do eval é que na maioria dos casos gerar código dinâmicamente é uma má idéia pois é muito mais simples raciocinar sobre código estático e você tem que se preocupar menos em escapar entradas que vem do usuário.
    – hugomg
    Commented 4/02/2014 às 18:56
  • Ta aí o exemplo. Caso eu fosse fazer de forma tradicional iria gastar dezenas de linhas de código. Além de que se precisasse de alguma manutenção seria bem mais complicado alterar linha por linha.
    – Joao Paulo
    Commented 4/02/2014 às 19:01
  • É possível (e recomendável) evitar o eval no seu exemplo, mesmo mantendo o loop. Mas isso exige alterações em outras partes do código (array ou objeto em vez das variáveis val_N).
    – bfavaretto
    Commented 4/02/2014 às 19:07
  • O que tem nessa variável valperiodos?Não estou entendendo o seu exemplo.
    – hugomg
    Commented 4/02/2014 às 19:08
  • Adicionei ao código @missingno
    – Joao Paulo
    Commented 4/02/2014 às 19:10

3 Respostas 3

17

Tenho de responder também pois o eval() não é tão mau como muita gente pensa, depende de como e onde se usa. Conduzir um carro é perigoso se não se souber como o fazer.

Para quem não domina javascript o eval pode assustar. E aí é mais fácil generalizar e dizer que não se deve usar nunca. Ora não é o caso.

O eval é uma das ferramentas mais poderosa do javascript. É um parser em sí. O maior problema do eval surge quando ligado a comunicação com o servidor. Mas se usar o eval em funções internas do código, sem input externo o eval pode ser muito util e seguro.

Vale a pena referir (e ter em conta) que qualquer utilizador pode chegar a um site, abrir a consola e correr código maléfico com eval.

No caso de se ter eval em linhas de código que fazem ligação a uma base de dados por exemplo, é importante fazer por blindar possiveis ataques. Nestes casos evite o eval.

A primeira parte da minha resposta é positiva ao eval, isto para dizer que há casos em que ele é util (como aqui por exemplo).

Porém ele tem contras de peso:

  1. O mau uso do eval pode levar a ataques de injeção de código

  2. Mais dificil de fazer debug (uma vez que dentro do eval os error não têm indicação de linha)

  3. mais lento que código similar sem eval

  4. dificulta e limita a minificação do código

Por fim vale a pena referir que o eval é usado no javascript escondido. Mais sobre isso nesta pergunta.

1
  • 4
    Muito bom, muito bom. Alguém com uma visão imparcial sobre o eval +1 Commented 16/05/2016 às 20:49
14

O eval, em certas situações faz com que seu código seja...

  1. ... mais difícil de se compreender: o javascript está sendo compilado na hora, o que, além de deixar o mais lento, faz que varie conforme a variável que for inserida na função;
  2. ... mais inseguro: já ouviu falar de Injeção SQL? eval é uma porta aberta para isso, só que noutra língua;
    Usar 'use strict' impede que um invasor tenha acesso a variáveis privadas, mas ele não protege variáveis globais, logo se tiver que usar eval valide o código antes de executar-lo.
  3. ... mais difícil de se trabalhar: ferramentas como o Closure Compiler e o Uglify não conseguem trabalhar com o eval em determinadas situações. A função impede que essas ferramentas encontrem as variáveis definidas e organize-as.

Mas há situações em que o uso eval é aceito - de acordo com o guia de estilo da Google:

  • Se você estiver programando um REPL, exemplo:
!function r(i){i=prompt('Insira um comando:');if(i)alert(eval(i)),setTimeout(r)}()
  • Se você estiver programando um carregador de código: o RequireJS, por exemplo, usa eval.

Edição: foi adicionado um exemplo de código a questão, essa resposta esse mesmo código reescrito sem usar eval.

6
  • 2
    Outro ponto importante é que a simples presença do eval inibe enormes oportunidades de otimização por parte da implementação. Se performance for importante, é mais um motivo para evitar. Commented 4/02/2014 às 19:13
  • Entendi a maior parte da sua resposta, mas ainda sou muito iniciante pra compreender esse pequeno código que você escreveu! O que ele faz?
    – Joao Paulo
    Commented 4/02/2014 às 19:13
  • 1
    É um REPL. Renomeando as variáveis e organizando: gist.github.com/qgustavor/8810385 Commented 4/02/2014 às 19:19
  • @JoaoPaulo: Aquele código faz algo parecido com while(1){ var cmd = prompt('Insira um comando:'); if(cmd){ alert(eval(i)); } }
    – hugomg
    Commented 4/02/2014 às 19:43
  • @missingno É um pouco diferente: seria mais do{var cmd = prompt('Insira um comando:');if(cmd){ alert(eval(cmd));}}while(cmd) - (é um do-while) Commented 4/02/2014 às 19:47
3

No exemplo que você deu, a alternativa ao eval seria usar um vetor ao invés de um monte de variáveis separadas:

var vals = [];
var tdVals = [];
var tdAtual = $(this).parent().parent().find(".vp1").parent()
//Vetores em Javascript são normalmente indexados começando do zero então mexi no seu loop.
for (i = 0; i < numPeriodos; i++) { 
    tdVals[i] = tdAtual;
    vals[i] = tdAtual.find(".valInputOption").val();
    tdAtual = tdAtual.next();
}

Algumas das vantagens que esse código tem comparado com a versão usando eval:

  • Vai ser mais fácil debugar. Em caso de erro, o debugador aponta melhor a linha de código, você consegue marcar breakpoints, inspecionar o conteúdo das variáveis, etc.
  • Vai ser mais fácil usar ferramentas que analisem seu código sem executá-lo, como o JSHint (recomendo fortemente usar uma coisa dessas se você não estiver usando!). Geralmente essas ferramentas ficam totalmente perdidas se elas encontram um eval.
  • Vetores são um objeto de primeira classe em JS, ao contrário das suas variáveis dinâmicas. Você pode passar eles de um lado pro outro, vc pode olhar o tdVals.length ao invés de ter de manter o valor do numPeriodos separadamente, etc.
  • O escopo das suas variáveis fica mais claro. Dá pra ver de cara quais são os nomes dos dois vetores que eu estou criando e é mais fácil saber se as variáveis são globais e locais.
  • O algoritmo ficou mais simples e eficiente. Agora ele dá um next só para cada td ao invés de 1 para o primeiro, 2 para o segundo, etc.
  • Eu acho que ficou mais fácil de entender. Um código usando eval pode potencialmente fazer qualquer coisa, o que siginifica que ele tem que ser lido com mais atenção.
1
  • Muito boa a resposta. Realmente deu para perceber as vantagens de não utilizar o eval() e uma alternativa até mais eficiente e com pouco código. Vou começar a utilizar vetores. Ainda sou muito muito novo em JS e nem tinha pensado nessa possibilidade.
    – Joao Paulo
    Commented 4/02/2014 às 19:29

Você deve fazer log-in para responder a esta pergunta.

Esta não é a resposta que você está procurando? Pesquise outras perguntas com a tag .