Discussion on question by Станислав Зимин: Чем опасен eval() в JavaScript в рамках веб страниц?

@СтаниславЗимин Это полет фантазии, потому что у вас изначально нет никакого реального сценария, для которого можно проанализовать безопасность.

Правда там наиболее популярная проблема это присваивание innerHTML без экранирования, а не eval. Потому что eval тупо не используют в обычных веб-приложениях, он "не нужен".

@СтаниславЗимин Ваш вопрос и напоминает болтовню, потому что вы приводите кучу аргументов для подтверждения бессмысленного "использование eval на клиенте не добавляет уязвимостей на сервер", что и так понятно. При этом реального сценария использования eval нету, так что мы анализируем безопасность непонятно чего.

@СтаниславЗимин Ну, это лишь ваше мнение, ничем не подтвержденное. Есть мнение из MDN о том, что eval небезопасен, так как предоставляет возможность выполнения произвольного кода с теми же правами, что и вызывающий код. Оно, как по мне, заслуживает куда больше доверия.