17

Existe mais de uma maneira de fazer um eval() no javascript, problema é que ele pode ser um perigo para o usuário se mal utilizado.

Internamente alguns outros métodos também fazem eval, por exemplo o setTimeout() que se colocado no argumento do callback uma string ele vai aplicar um eval.

Quais são as formas de aplicar eval no Javascript?

Complementar ao assunto, achei esta pergunta que visa as implicações do uso do eval.

2
  • Pode refrasear / explicar melhor "Quais são as formas de aplicar eval no Javascript?". Refere-se a como o javascript funciona internamente, se existem outros métodos que usam o eval internamente, ou que práticas se devem ter em conta?
    – Sergio
    Commented 8/02/2014 às 16:02
  • 1
    @Sergio me refiro as formas de aplicar o eval focado em quem está criando um código, onde este pode executar um eval, então estou tentando me referir aos métodos que executam em seus argumentos evaluação de código. Mas as outras duas perguntas são interessantes também, como funciona internamente e quais as praticas se devem ter em conta, vou ver se ninguém já as fez antes e se não, vou coloca-las em separado, pois são bem diferentes as questões. Commented 8/02/2014 às 16:09

3 Respostas 3

21

Vou mostrar oito tipos diferentes que transformam strings em um código que pode ser executado imediatamente. Neste caso, estou usando apenas javascript puro, porém bibliotecas como jQuery tem métodos que implicitamente podem ser exploradas como eval.

eval()

O proprio eval

eval("alert('lorem ipsum')");

setTimeout()

setTimeout é o mais conhecido exemplo de uso de eval caso você passe uma string.

// Ambos são equivalentes
setTimeout("alert('lorem ipsum')", 100);
setTimeout(function(){ eval("alert('lorem ipsum')"); }, 100);

setInterval()

setInterval é semelhante ao setTimeout, porém executa a cada período de tempo e não apenas ao final do tempo escolhido.

// Ambos são equivalentes
setInterval("alert('lorem ipsum')", 100);
setInterval(function(){ eval("alert('lorem ipsum')"); }, 100);

new Function()

Function implicitamente pode ser considerado uma forma de eval porque ele aceita strings

var adder = new Function("a", "b", "return a + b");
alert(adder(3,5));

document.write()

document.write, se usado para escrever tags <script>, também funciona como eval

document.write('<script>alert("lorem ipsum")</script>')

document.writeln()

document.writeln é muito parecido com o document.write, porém adiciona uma nova linha ao final.

document.writeln('<script>alert("lorem ipsum")</script>')

Data URI

Data URIs são o exemplo mais atípico, porém eventualmente são usadas para explorar falhas em navegadores.

var s = document.createElement('script');
s.src = 'data:text/javascript,' + encodeURIComponent('alert("lorem ipsum")')
document.body.appendChild(s);

Referência: conhecimento próprio, links da MDN e http://kubyshkin.ru/posts/studying-javascript-eval.html

DOM

Semelhante à abordagem dos data URIs, mas inserindo o código diretamente em vez de recorrer ao atributo src:

var s = document.createElement('script');
s.appendChild(document.createTextNode('alert("lorem ipsum");'));
document.body.appendChild(s);

javascript:

Também semelhante aos data URIs, porém inserindo o código no location da página:

location.replace('javascript:alert("lorem ipsum");void(0)');
7
  • 1
    +1 complementei a resposta com o setInterval, pois vi nos links do @Emerson Commented 8/02/2014 às 16:40
  • 2
    +1 boa resposta!
    – Sergio
    Commented 8/02/2014 às 16:41
  • 2
    Boa lista! Só chamo atenção para uma diferença importante entre o eval mesmo e as demais opções: o código passado ao eval roda no escopo em que o eval estiver sendo chamado, com acesso a tudo o que estiver disponível nesse escopo; todas as demais opções rodam no escopo global.
    – bfavaretto
    Commented 8/02/2014 às 18:19
  • 1
    tem também a questão do modo estrito que muda acesso ao escopo e tals... Commented 9/02/2014 às 3:12
  • 1
    Se document.write e data URI são válidos, então certamente usar DOM para criar uma tag <script> com JS de conteúdo também é? O innerHTML funciona neste caso?
    – luiscubal
    Commented 15/02/2014 às 20:58
5

De facto o setTimeout e o setInterval podem usar um método semelhante ao eval() no caso de não receberem uma função (anónima ou referenciada) como primeiro parametro.

O desejado, boa prática, seria:

// declarar a função antes
function foo(){
   alert('foo');
}
setTimeout(foo,1000);

// usar uma função anónima
setTimeout(function(){
    foo();
},1000);

No caso de se passar uma string para estes métodos, por exmplo:

setTimeout('alert(foobar)' ,1000);

isto pode ter implicações sérias de segurança, mas também problemas de escopo. Esta string vai ser avaliada no escopo geral, e se neste caso a variável foobar estiver no mesmo escopo do seTimeout mas não no escopo geral, ela não vai ser encontrada.

--

Outra maneira é inserir novo script na página em forma de string. Assim usando:

var s = document.createElement('script');
s.type = 'text/javascript';
s.text = 'alert("Olá mundo!");';
$(document.body).append(s);
1
  • +1 porque além também incluiu implicações de segurança que é complementar a pergunta, obrigado. Commented 8/02/2014 às 16:44
3

Duas outras formas maneiras de exuecutar código Javascript de uma string são o construtor Function

var f = new Function('alert("oi")');
f();

e criar uma tag <script>, como sugerido aqui:

var scrEl = document.createElement('script');
scrEl.innerHTML = "window.alert(1);"
document.body.appendChild(scrEl);

Você deve fazer log-in para responder a esta pergunta.

Esta não é a resposta que você está procurando? Pesquise outras perguntas com a tag .