21

Entendiendo el uso de la función eval(), comprendo que es para evaluar un string como una expresión de Javascript, no obstante, la orientación de uso no se recomienda.

Un ejemplo del uso de la función sería el siguente segmento de código:

var refreshTime = 'setTimeout(function(){ console.log("Writing somehing every second!"); }, 1000);';
eval(refreshTime)

¿Existe algún escenario posible donde el uso de Eval() sea una opción, o en su caso, necesario y/o requerido?


De igual manera, una cuestión me no me deja claro el alcance de la función es que ese timeout solo se ejecuta una vez, y no cada segundo como debería.

4
  • 1
    ¿Qué significa Extra bonus featured rep.? ¿Lo pusiste tú o es una nueva función del sitio?
    – A. Cedano
    Commented el 29 ago. 2018 a las 0:20
  • eval is evileval es el mal: la función eval es la mayor característica en el mal uso de Javascript. Evítala .” Douglas Crockford
    – Tato OC
    Commented el 29 ago. 2018 a las 0:40
  • 1
    @TatoOC eval no es tan evil, el problema es cuando se usa mal. Recomiendo este artículo, me parece correcto y hace justicia un poco a eval. Este artículo también es bastante bueno. Phi, tu pregunta es excelente y espero que alguien muy experto en Javascript escriba una respuesta que desmitifique un poco ciertas cuestiones sobre eval. Yo siempre digo que el peor virus, el más peligroso, es el usuario (o el programador malo, peor aún).
    – A. Cedano
    Commented el 29 ago. 2018 a las 0:50
  • @TatoOC Douglas es un comunicador (además de experto en JS) y esa frase a mi entender hace uso de la hyperbole para marcar buenas y malas prácticas, esto con el fin de generar una discusión acerca del tema. En el contexto y tiempo en que el pibe larga esa "bomba" sirvió para que el lenguaje evolucionara haciendo el uso de eval cada vez mas raro o innecesario. Commented el 29 ago. 2018 a las 16:27

4 respuestas 4

25

Una pregunta muy interesante, me aventuraré a responderla y espero estar a la altura.

Para la pregunta:

¿En qué momento se vuelve necesario usar la función eval() de Javascript?

Nunca, en los tiempos en que los navegadores no daban soporte a todas las características que tenemos hoy en día, tal vez, podríamos haber encontrado un caso en el que podríamos haberlo necesitado.

Por ejemplo, digamos que tenemos un JSON string, y necesitamos un convertirlo a un valor para su uso:

let userString = "{\"name\":\"Carlos\", \"username\":\"KacosPro\"}";
let user = eval('('+userString+')');
console.log(user);

Pero hoy en día podemos decir que mas de el 90% de los navegadores que se utilizan soporta la sintaxis JSON.parse()

let userString = "{\"name\":\"Carlos\", \"username\":\"KacosPro\"}";
let user = JSON.parse(userString);
console.log(user);

Pero, ¿y si mi JSON string viene con otro formato?

Digamos que nos llega un string con esta forma {name: "Carlos", username: "KacosPro"}

let userString = "{name: 'Carlos', username: 'KacosPro'}";
let user = eval('('+userString+')');
console.log(user);

¡Le encontramos un uso!, sí, pero ese JSON no está en el formato correcto y por lo tanto no es un JSON válido, la especificación dice claramente que en JSON un string es una secuencia de cero o mas carácteres Unicode, envueltos en comillas dobles escapados con una barra invertida fuente

Otro uso entre varios que le podemos encontrar es llamar a una función de manera dinámica, por ejemplo

function hello() {
  console.log('Hello');
}

function goodBye() {
  console.log('Bye');
}

const call = 'hello()';

eval(call);

Pero aun así podemos encontrar otra manera de hacerlo

function hello() {
  console.log('Hello');
}

function goodBye() {
  console.log('Bye');
}

const call = 'hello';

this[call]();

En conclusión

Sin tener en cuenta que es una función potencialmente insegura, ya que, si no se utiliza con cuidado alguien puede ejecutar código en nuestros scipts.
Para cada uso que se le puede encontrar, tenemos una manera mas eficiente de evitarla


¿Existe algún escenario posible donde el uso de eval() sea una opción, o en su caso, necesario y/o requerido?

, puede que existan varios casos, por ejemplo el creador de JSON.parse() la utiliza pero después de haber sanitizado y revisado si es un JSON string válido. Podemos ver que dice:

In the third stage we use the eval function to compile the text into a JavaScript structure.

O en español (sientanse libres de editar si encuentran algo incorrecto en la traducción):

En la tercera etapa utilizamos la función eval para compilar el texto en una estructura JavaScript

Podemos ver su uso aquí


Por último para tu duda

De igual manera, una cuestión me no me deja claro el alcance de la función es que ese timeout solo se ejecuta una vez

setTimeout() ejecuta la función cuando el tiempo de espera haya transcurrido y solo la ejecuta una vez

console.log(new Date());
setTimeout(() => {console.log(new Date())}, 1000)

Si lo que necesitas es que se ejecute cada cierto tiempo se debe utilizar la función setInterval(), aquí un ejemplo práctico:

setInterval(function(){ console.log("Writing something every second!"); }, 1000);

O si quieres que inicie después de una acción la podemos encapsular en una función

function refreshTime() {
  setInterval(() => {console.log("Writing something every second!")}, 1000);
}
<button onclick="refreshTime()">Click me!</button>

5

La función eval() se utiliza mucho para ofuscar el código y hacerlo menos legible, por ejemplo en librerías de pago!

Tiene muchas utilidades ejemplo: webscraping! Al hacer un request de una web la obtienes como texto plano. Puedes hacer:

let response = request.split("<script>")[1].split("</script>")[0]
eval(response);
//obtendrías el script para ejecutar y no solo como texto plano!

También puedes ver un ofuscador online.

function a(){alert("hello world");}a();

y ofuscado seria:

eval(function(p,a,c,k,e,d){e=function(c){return c};if(!''.replace(/^/,String)){while(c--){d[c]=k[c]||c}k=[function(e){return d[e]}];e=function(){return'\\w+'};c=1};while(c--){if(k[c]){p=p.replace(new RegExp('\\b'+e(c)+'\\b','g'),k[c])}}return p}('1 0(){2("3 4")}0();',5,5,'a|function|alert|hello|world'.split('|'),0,{}))
3
  • Me causa duda la parte de ofuscar código, igual si pones ejemplos y/o una explicación más amplia quedaría más claro y la respuesta quedaría excelente
    – Phi
    Commented el 29 ago. 2018 a las 14:26
  • a esto me refiero con ofuscar codigo; danstools.com/javascript-obfuscate/index.php y un ejemplo simple seria! function a(){alert("hello world");}a(); y ofuscado seria: eval(function(p,a,c,k,e,d){e=function(c){return c};if(!''.replace(/^/,String)){while(c--){d[c]=k[c]||c}k=[function(e){return d[e]}];e=function(){return'\\w+'};c=1};while(c--){if(k[c]){p=p.replace(new RegExp('\\b'+e(c)+'\\b','g'),k[c])}}return p}('1 0(){2("3 4")}0();',5,5,'a|function|alert|hello|world'.split('|'),0,{}))
    – Bryro
    Commented el 29 ago. 2018 a las 17:39
  • 1
    @Bryro con editar podes agregar el ejemplo a la respuesta así queda mas claro ;) Commented el 29 ago. 2018 a las 17:57
2

Voy a aportar una respuesta actualizada y con una opción algo menos mala:

¿Cuándo usar eval?

Nunca, es peligroso y realmente no hay motivos para hacerlo. El código ejecutado mediante esta función tiene acceso global.

Pero ya conozco el código que se va a ejecutar, es JS que me he descargado de mi propio sitio.

Entonces no hay motivo para usar eval, puedes cargar el código dinámicamente y ejecutarlo de un modo más eficiente.

¿Y si, a pesar de todo, estoy en un escenario en el que necesito ejecutar código que he recibido como texto?

La función eval() tiene acceso global y esto es peligroso y, además, costoso (el código a ejecutar es muy lento). Una mejor solución es crear una función con el código que tendrá un "scope" local:

Mala idea: eval("(" + obj + ")");

Una idea algo mejor: Function('"use strict";return (' + obj + ')')();

En Javascript las Funciones son "first-class-citizens". Es decir, son objetos comunes que se pueden crear y tienen propiedades específicas. Llamar a esta función es algo menos costoso y mucho más seguro, ya que el acceso está restringido al interior de la función. El motivo de que sea menos costoso es precisamente porque eval obliga al compilador a buscar en los ámbitos superiores si existe un identificador dado, mientras que Function no, sólo trabaja con el scope local y los objetos de window:

(() => {
const evalCode=`"use strict";
a= 11;`

const functionCode=`"use strict";
a= 22;`

let a = 0;

function callEval(code)  {
  eval(code);
}
function createFunction(code) {
  return new Function(code);
}

console.log(a);
callEval(evalCode);
console.log(a);

const f = new createFunction(functionCode);
try {
  f()
} catch(e) {
  console.log("llamada a f falla:", e.message);
}
console.log(a);

})()

1
  • Como siempre, tremenda respuesta. Me gustó la parte inicial "...y con una opción algo menos mala"
    – Phi
    Commented el 6 ago. 2021 a las 17:02
0

Es interesante, porque el único uso que teoricamente justificaría su uso es cuando el código a ejecutar no se conoce previamente, quizá porque es generado dinámicamente, por ejemplo en el servidor. Se supondría que de otra manera ponemos el código como código y no como string.

En este contexto hablo de que "teoricamente justificaría su uso" en el sentido de que no se pueda hacer de otra manera sino usando eval(). Este escenario según mi opinión significa en el 100% de los casos que existe una falla en el diseño. Es decir, en este sentido nunca se justificaría.

Este hecho (el código a ejecutar no se conoce previamente) es el que justamente lo vuelve potencialmente "peligroso", el hecho concretamente "peligroso" es la posibilidad de un ataque de XSS (Cross Site Scripting, recomiendo OWASP para información detallada).

Es decir, el único hecho que teoricamente justificaría su uso en el sentido de que no se pueda hacer de otra manera, es justamente la característica que lo tornaría peligroso.

Pero la ejecución de codigo dinámico no es el único uso, uno de los usos es simplemente resumir código u ofuscarlo deliberadamente, como menciona @Bryro. Es decir es código que si se puede hacer de otra manera.

A modo de ejemplo, esta es una forma de obtener el promedio de un array usando eval():

const ar = [11,2,100,56,78,90,22];

const promedio = eval(ar.join('+'))/ar.length;

console.log(promedio);

Es un código que claramente puede hacerse sin la necesidad de eval() pero su uso lo hace muy corto y conciso. Al menos en la mayoría de los casos en los que el código se pueda hacer de otra manera, es decir que teoricamente no sería necesario el eval(), dicho código no es peligroso en absoluto. Eso es lo paradójico del asunto. En general sería "seguro" cuando no es "necesario".

Por último aclaro que uso las expresiones "Al menos en la mayoría de los casos" o "En general" porque no se conocen todas las posibilidades, si nos fijamos en OWASP, se van agregando vulnerabilidades periódicamente. Lo que ocurre con eval() es que es un posible vector de un ataque XSS, incluso en escenarios que aún no conozcamos, es por ello que se insiste en no usarlo en absoluto.

Estoy dejando de lado deliberadamente algunos casos muy específicos que creo que escapan un poco a la generalidad, que serían el sanboxing de JavaScript, y el uso implícito de eval() en otras funciones. El sandboxing sería el caso del ejecutor de código JavaScript que existe aqui mismo en StackOverflow, en jsfiddle o similar, allí el uso de eval() o el constructor Function es mandatorio. El uso implícito sería en funciones como .innerHTML, en donde efectivamente se ejecuta código como string mediante otras funciones.

3
  • Igual de conciso: const promedio = ar.reduce((a,b) => a+b)/ar.length Commented el 21 jul. 2021 a las 17:04
  • Sandboxing: puedes ejecutar el código dentro de un iframe con permisos restringidos Commented el 21 jul. 2021 a las 17:06
  • Si si también es conciso, es un ejemplo, debe haber alguno mejor
    – Emeeus
    Commented el 21 jul. 2021 a las 18:14

Tu Respuesta

By clicking “Publica tu respuesta”, you agree to our terms of service and acknowledge you have read our privacy policy.

¿No es la respuesta que buscas? Examina otras preguntas con la etiqueta o formula tu propia pregunta.