eval()を使わないでください！

https://gyazo.com/7dbb39abec1e26ddf00cb9e0915a2d8f

Indirect Eval

code:script.js

const a = 1;

(() => {

const a = 2;

eval("console.log('Direct Eval : ' + a)");

eval?.("console.log('Indirect Eval : ' + a)");

})();

// Expected Log Output :

// <string> "Direct Eval : 2"

// <string> "Indirect Eval : 1"

code:script.js

const a = 1;

(() => {

const a = 2;

eval("console.log('Direct Eval : ' + a)");

new Function("console.log('Function() : ' + a)")();

})();

// Expected Log Output :

// <string> "Direct Eval : 2"

// <string> "Function() : 1"

JS内部で使われてる……？

ユーザーが書いたJavaScriptソースコードを動的に実行したい時に使う

それ以外にも使えるけれど、何にでも使うとセキュリティ的にまずいので、余程の理由があってセキュリティ的に問題がないと判別がつく場合以外は使ってはいけないやつ

ちなみに、eval内でrequireはできない...とあるが、replだとできた