Какие плюсы и минусы eval

А, ну вот, классика жанра подъехала! Сейчас я тебе про eval такую простыню разложу, что ты офигеешь, как от хорошего анекдота. Слушай сюда, не зевай.

Этот eval, он как тот самый дядька на районе, который может всё. Нужно динамически код сгенерировать и выполнить? Без проблем, братан, он это умеет. Для каких-нибудь кастомных формул или конфигураций, которые прямо в тексте приходят — вообще красота. В консоли поковыряться, потестить кусочек — тоже его рук дело. Удобно, блядь, как домашние тапочки.

НО! Вот это самое «но» здесь размером с КамАЗ. Потому что минусы у этой штуки — просто пиздец какие жирные.

Во-первых, безопасность. Это же дыра размером с чёрную дыру, ёпта! Представь: у тебя от пользователя приходит какая-нибудь строка, а там не число, а alert('Вскрыл твой банк, лох!'). И ты эту строку суёшь в eval. Что будет? Правильно, он это выполнит, как родной! XSS-атаки, инъекции кода — всё это про него, про этого красавчика. Доверять ему — это как доверять ёжику стрижку газона. Ноль, блядь, доверия.

Во-вторых, производительность. Он же каждый раз, сука, парсит строку, компилирует это дело на лету. Это не то что медленно, это — «я сварю кофе, пока оно выполнится». Для цикла или частого вызова — просто смерть.

В-третьих, отладка. Попробуй найти ошибку в коде, который собрался из кусков строк, как Франкенштейн из запчастей. Номера строк полетят к чёртовой матери, стектрейсы будут нечитаемыми. Ощущение, будто ищешь чёрную кошку в тёмной комнате, где её, блядь, и нету.

Ну и напоследок, он может накосячить со strict mode, если неаккуратно использовать. В общем, сплошная головная боль.

Вот, смотри, как выглядит этот опасный пиздец в деле:

const userInput = "alert('Hacked!')";
eval(userInput); // выполнит произвольный код, и ты останешься в дураках

Красиво? Красиво. Страшно? Ебать как страшно.

Так что же делать, если он такой опасный? — спросишь ты. А альтернативы есть, их, блядь, целая куча!

1. Function() — это как его более воспитанный, но всё равно подозрительный брат. Чуть безопаснее, но всё равно не сахар.
2. JSON.parse() — вот это уже серьёзный парень. Если нужно просто данные распарсить, а не код выполнить — он твой лучший друг.
3. Библиотеки для шаблонов, типа Handlebars или Mustache. Они специально обучены подставлять значения в заготовки, не пытаясь при этом захватить мир.

Короче, вывод простой: eval — это как мощная бензопила. В умелых руках на даче — полезная вещь. В руках ребёнка или в своей же квартире — гарантированный пиздец и ремонт. Используй с умом, а лучше — не используй вообще, если не уверен на все сто пятьдесят процентов. Всё, лекция окончена, можешь идти пить чай.