Estoy haciendo una calculadora con javascript, muy sencilla, como ejercicio y tengo la intencion de usar "Function() constructor" para evaluar los inputs. El código es más o menos así:
let userInput = "2+4*3";
let result = Function("return " + userInput)();
console.log(result);
.as-console-wrapper {
min-height: 100%;
top: 0;
}
Mi pregunta es: ¿es conveniente o seguro?. Sé que sélo es un ejercicio, pero leyendo diversa documentación mencionan que evaluar dinámicamente strings es vulnerable a Código malicioso. Investigando un poco encontré esta alternativa ya que no quiero usar eval(), sin embargo ¿qué tan conveniente o practico es esto en aplicaciones reales?
¿Existe otra alternativa para evaluar operaciones? me he encontrado con soluciones limitadas y en mi calculadora quisiera tener la posibilidad de usar paréntesis y evaluar dinámicamente como en cualquier calculadora.
XSS
pero desde la consola u otros sitios conF12
siempre estamos susceptibles a ellos.eval
siempre habra inseguridad y en este caso, si hackean tu calculadora el peligro real a no ser de que tengas una BD de usuarios no representa ningun peligro, mas bien representa un peligro para el propio hacker, que quiere vulnerar la seguridad de algo que simplemente es una herramienta xd, como digo, no le veria sentido, igual siguiendo recomendaciones pues no usemoseval
oFunction
, aunque si me lo preguntas creo que si eligiese usar una entre ellas, usariaeval
y noFunction
.eval
es que puedes ejecutar o interpretar codigoJS
directamente con algo que escriba el usuario, peroJS
es bastante limitado, y como digo, a no ser de que tu sitio use una BD o de que tengas informacion sensible en ella como pagos o cosas asi, no hay porque preocuparse, porque si la hackean va a ser por diversion, mas que por sacar algo o por beneficio propio, de todas maneras los "hackeos", por parte de "JS" no son o no deberian ser persistentes, por lo que nunca afectarian realmente el codigo original de la pagina, y el unico afectado sera el hacker o usuario.