Gostaria de saber , se o código abaixo oferece alguma insegurança ao site.
...
Caso afirmativo, qual a maneira segura de escrever esse código ?
Você já sabe que o eval
faz com que o navegador interprete/execute um código no mesmo escopo onde foi chamado: então, "não". O código executando ao lado do cliente não é capaz de modificar o servidor, mas tem acesso à declarações locais, já o contexto global qualquer um pode modificar rapidamente (agora isso é caso você queira avaliar uma string que veio de outro lugar).
Eu preocuparia de usar eval
nesse caso, já que pode abalar a performance de um jogo (por exemplo), de tanto fazer o navegador re-avaliar e executar um código.
Do jeito que você usou o eval
não foi muito vantagioso, tipo, você queria obter uma propriedade de obj1
de forma de forma mais customizada. Os assignments também funcionam com (exp)[expParaONomeDaPropriedade]
ao invés de (exp).identificador
:
obj1['0']; // o mesmo que obj1[0]
obj1['but1']; // o mesmo que obj1.but1
A diferença de usar o .
é porque você é obrigado à usar um identificador, de várias maneiras atualmente:
({ 'a': 2 }).\u{61} // 2
({ 'a': 2 }).\u0061 // 2
({ 'B': 5 }).\u0042 // 5
({ 'B': 5 }).B // 5
Lembrando que o nome de todas propriedades são forçados para serem strings, exceto uma propriedade com o nome do tipo 'symbol'...