2

Gostaria de criar objetos sequenciados e para setar o nome do objeto, apenas consegui fazer pela função eval(), não achei outras alternativas.

Dizem que é ineseguro, e sujeito a ataques. Gostaria de saber , se o código abaixo oferece alguma insegurança ao site.

var obj1 = { but1: { Label: "button1" }, but2: { Label: "button2" }, but3: { Label: "button3" } };

for (i=4;i<=6;i++)
   x = eval("obj1.but" + i + " = {Label:'button"+i+"'};");

Caso afirmativo, qual a maneira segura de escrever esse código ? Obrigado.

1

3 Respostas 3

8

Você não precisa usar eval nesse caso. Você pode acessar um campo determinado por uma string usando o operador []

for (var i=4;i<=6;i++){
    obj1["but"+i] = { Label: "button"+i };
}

Mas na minha opinião o melhor mesmo seria botar os botões num vetor ou em uma tabela hash:

var obj1 = {
    buttons: [
        { Label: "button0" },
        { Label: "button1" },
        { Label: "button2" }
    ]
};


for (var i=3;i<=5;i++) {
   obj1.buttons[i] = { Label: "button"+i };
}

Quanto à segurança, esse exemplo em particular que você usou não é inseguro pois você pode garantir que todas as strings que são passadas para o eval são bem comportadas. O problema de segurança surgiria se você passasse algum valor determinado por um usuário do seu website para dentro do eval.

Mas apesar da versão atual não ser insegura eu ainda não recomendaria o uso do eval. Ele é bem mais complicado do que as alternativas, se houver um erro durante o eval a mensagem de erro e o stack trace são difíceis de debugar, e o eval bloqueia diversas otimizações do compilador, o que faz seu programa rodar mais lentamente. Além disso é bem fácil introduzir um problema de segurança fazendo apenas uma pequena modificação acidental no código.

0
2

Esta resposta é um adendo a resposta do @hugomg, resumindo o problema do eval é que tipos de dados que serão executados, na pergunta o exemplo não é tecnicamente inseguro, todavia ainda existe o problema da performance, neste exemplo eu fiz mais semelhante ao código original, apesar de concordar com a abordagem de arrays do @hugomg, eu mantive assim para comparar a performance, veja por você mesmo:

  • Função testObject pega ou seta os objetos assim obj1['but' + i]
  • Função testEval é o seu código original eval("obj1.but" + i);

O exemplo:

var obj1 = { but1: { Label: "button1" }, but2: { Label: "button2" }, but3: { Label: "button3" } };

function testEval() {
   for (var i=4;i<=6;i++) {
      x = eval("obj1.but" + i + " = {Label:'button"+i+"'};");
   }
}

function testObject() {
   for (var i=4;i<=6;i++) {
      x = obj1['but' + i] = {Label:'button' + i };
   }
}

var d = new Date().getTime();

for (var i=0;i<100000;i++) {
   testEval();
}

console.log("eval:", (new Date().getTime() - d) + "ms");

d = new Date().getTime();

for (var i=0;i<1000;i++) {
   testObject();
}

console.log("object:", (new Date().getTime() - d) + "ms");

Resultados no Chrome:

  • testEval levou ~477ms para concluir
  • testObject levou ~2ms para concluir

Ou seja usar assim obj1['but' + i] é muito mais eficiente que eval

No firefox o resultado é bem pior com eval, leva 6741ms para executar o exemplo:

  • eval: 6741ms
  • object: 3ms
1

Gostaria de saber , se o código abaixo oferece alguma insegurança ao site.

...

Caso afirmativo, qual a maneira segura de escrever esse código ?

Você já sabe que o eval faz com que o navegador interprete/execute um código no mesmo escopo onde foi chamado: então, "não". O código executando ao lado do cliente não é capaz de modificar o servidor, mas tem acesso à declarações locais, já o contexto global qualquer um pode modificar rapidamente (agora isso é caso você queira avaliar uma string que veio de outro lugar).

Eu preocuparia de usar eval nesse caso, já que pode abalar a performance de um jogo (por exemplo), de tanto fazer o navegador re-avaliar e executar um código.

Do jeito que você usou o eval não foi muito vantagioso, tipo, você queria obter uma propriedade de obj1 de forma de forma mais customizada. Os assignments também funcionam com (exp)[expParaONomeDaPropriedade] ao invés de (exp).identificador:

obj1['0']; // o mesmo que obj1[0]
obj1['but1']; // o mesmo que obj1.but1

A diferença de usar o . é porque você é obrigado à usar um identificador, de várias maneiras atualmente:

({ 'a': 2 }).\u{61} // 2
({ 'a': 2 }).\u0061 // 2

({ 'B': 5 }).\u0042 // 5
({ 'B': 5 }).B // 5

Lembrando que o nome de todas propriedades são forçados para serem strings, exceto uma propriedade com o nome do tipo 'symbol'...

1
  • 1
    muito obrigado pelos esclarecimentos.. irei fazer os testes da maneira que propos. Minha precaução era em realação a segurança, porém como posso melhorar também a perfomance. acho viavel modificar. grato.. Commented 6/01/2017 às 1:30

Você deve fazer log-in para responder a esta pergunta.

Esta não é a resposta que você está procurando? Pesquise outras perguntas com a tag .