¿Por qué eval es inseguro en javascript?

Question

Duplicar posible:
Why exactly is eval evil?

leí personas afirman que eval no es seguro cuando se ejecuta en código de entrada del usuario arbitrario. Entiendo esto en otros idiomas que se ejecutan en el servidor que accede al sistema de archivos, etc. Sin embargo, ¿por qué es esto importante cuando se ejecuta código en un navegador? Después de todo, ¿no puedes simplemente disparar Firebug y escribir cualquier script arbitrario que quieras de todos modos? Entonces, ¿cómo es la evaluación diferente?

Answer 1

El peligro de eval solo asoma su horrible cabeza cuando está sirviendo un script escrito por alice to user bob para el navegador de bob para eval.

p. Ej. si bob ingresa su contraseña en su página, alice podría haber escrito un keylogger en la entrada del usuario eval ed y disponer que los datos sean codificados en una secuencia de comandos que bob (sin saberlo) enviará para ser servida a alice. Esto es, como @ Hunter2 ha sugerido en los comentarios, un ataque XSS.

Si no está sirviendo a otras personas, está en lo cierto al suponer que es equivalente a disparar hasta firebug

Answer 2

no creo que no es seguro, para los más paranoicos ejecutar eval = null;