2

Estoy haciendo una calculadora con , muy sencilla, como ejercicio y tengo la intencion de usar "Function() constructor" para evaluar los inputs. El código es más o menos así:

let userInput = "2+4*3";
let result = Function("return " + userInput)();
console.log(result);
.as-console-wrapper {
  min-height: 100%;
  top: 0;
}

Mi pregunta es: ¿es conveniente o seguro?. Sé que sélo es un ejercicio, pero leyendo diversa documentación mencionan que evaluar dinámicamente strings es vulnerable a Código malicioso. Investigando un poco encontré esta alternativa ya que no quiero usar eval(), sin embargo ¿qué tan conveniente o practico es esto en aplicaciones reales?

¿Existe otra alternativa para evaluar operaciones? me he encontrado con soluciones limitadas y en mi calculadora quisiera tener la posibilidad de usar paréntesis y evaluar dinámicamente como en cualquier calculadora.

5
  • Hay razones por las que por ejemplo en calculadoras como la de windows, tienes botones virtuales, se que puedes escribir directamente en ella, pero lo que hace por debajo no es directamente ejecutar lo que el usuario escribe, si no leer sintacticamente lo que esta dentro, comprobar si es adecuado y conforme a ello dar los resultados, en este caso es mas complejo que eso, pero basicamente puedes hacerlo creando tu propio orden de ejecucion de acuerdo a un analisis sintactico y metiendo en este mismo tus operaciones.
    – Layer
    Commented el 3 ago. 2022 a las 7:10
  • De todas maneras esto de que es peligroso realmente no se si lo dicen en serio o si se lo sacan de alguna parte, es que enrealidad seria peligroso en que sentido?, la verdad hackear la calculadora a no ser de que el usuario pague por usarla no tiene mucho sentido, que harias hackeando la calculadora y en que afectaria?, creo que el unico afectado es el que la hackea, pues enrealidad como digo no tiene sentido no ganan nada, por otro lado estan los XSS pero desde la consola u otros sitios con F12 siempre estamos susceptibles a ellos.
    – Layer
    Commented el 3 ago. 2022 a las 7:14
  • Por lo que la verdad sugiero que asi uses o no eval siempre habra inseguridad y en este caso, si hackean tu calculadora el peligro real a no ser de que tengas una BD de usuarios no representa ningun peligro, mas bien representa un peligro para el propio hacker, que quiere vulnerar la seguridad de algo que simplemente es una herramienta xd, como digo, no le veria sentido, igual siguiendo recomendaciones pues no usemos eval o Function, aunque si me lo preguntas creo que si eligiese usar una entre ellas, usaria eval y no Function.
    – Layer
    Commented el 3 ago. 2022 a las 7:15
  • El peligro de eval es que puedes ejecutar o interpretar codigo JS directamente con algo que escriba el usuario, pero JS es bastante limitado, y como digo, a no ser de que tu sitio use una BD o de que tengas informacion sensible en ella como pagos o cosas asi, no hay porque preocuparse, porque si la hackean va a ser por diversion, mas que por sacar algo o por beneficio propio, de todas maneras los "hackeos", por parte de "JS" no son o no deberian ser persistentes, por lo que nunca afectarian realmente el codigo original de la pagina, y el unico afectado sera el hacker o usuario.
    – Layer
    Commented el 3 ago. 2022 a las 7:20
  • Lectura recomendada: es.stackoverflow.com/questions/192300/… Commented el 3 ago. 2022 a las 13:22

1 respuesta 1

3

En cuanto a la seguridad, el riesgo concreto de ejecutar código dinámico es la posibilidad de hacer cross-site scripting, si el código a evaluar lo genera la misma persona que lo va a ejecutar, no habría problema, pero hay que estar 100% seguro de que sea así, y eso a veces es difícil. Ejemplo:

let userInput = prompt("ingrese código js"); //<-- código js arbitrario
let result = Function("return " + userInput)();
console.log(result);  

En el código precedente, el usuario que lo ejecuta no tendría algo mas de lo que ya tiene, el problema serio es si userInput (todo o una parte) viene de un lugar que no sea el usuario que lo ejecuta, por ejempo un backend, otra página, url etc. Ahí se presenta la posibilidad de un cross-site scripting. Ejempo:

const url = new URL(window.location.href);

const userInput = url.searchParams.get("codigo");//<-- código js arbitrario

let result = Function("return " + userInput)();

console.log(result);

El caso precedente es vulnerable a Cross-site_scripting, al tomar valores de url, podría no ser el mismo usuario el ejecuta y el que genera el código.

Como es complicado o imposible hacer una lista exhaustiva de todos los casos posibles de inserción de código, en general se recomienda evitar la ejecución de código dinámico, pero si podés estár 100% seguro que el código no puede venir de otro lado, no habría problema.

Tu Respuesta

By clicking “Publica tu respuesta”, you agree to our terms of service and acknowledge you have read our privacy policy.

¿No es la respuesta que buscas? Examina otras preguntas con la etiqueta o formula tu propia pregunta.