Czy korzystanie z javascript eval() jest bezpieczne w przypadku prostych obliczeń na wejściach?

Question

Chciałbym pozwolić użytkownikowi na wykonanie prostych obliczeń na wejściach tekstowych, dzięki czemu wpisanie 2 * 5 spowoduje 10. Zamieniam wszystko oprócz cyfr na pusty ciąg, a następnie dokonuję obliczeń za pomocą eval(). Wydaje się to łatwiejsze i prawdopodobnie szybsze niż ręczne analizowanie.

Często mówi się, że eval() jest niebezpieczne, więc chciałbym usłyszeć, czy istnieje jakiekolwiek niebezpieczeństwo lub wada korzystania z niego w tej sytuacji.

function (input) { 
    value = input.value.replace(/[^-\d/*+.]/g, ''); 
    input.value=eval(value); 
} 

Answer 1

To jest bezpieczne, nie dlatego, że są odkażania, ale ponieważ wszystko jest wprowadzone przez użytkownika i uruchomienia własnej przeglądarce. Jeśli naprawdę chcieli wprowadzić złośliwy kod, mogliby to zrobić za pomocą firebuga lub inspektora sieci, a nawet za pomocą skryptozakładki. Na szczęście niewiele można zrobić złośliwie za pomocą javascript, poza zablokowaniem własnej przeglądarki :)

Answer 2

Jest to bezpieczne, ponieważ dokonuje się sprawdzania danych wejściowych przed umieszczeniem go w eval.

oprócz należy również dodać:

()%