区別の詳細: JavaScript では eval() と new Function() は交換可能ですか?

JavaScript ではよく次のような関数に遭遇します。 eval() と new Function()。これらの構文は一見すると似ているように見えますが、詳しく調べると動作の根本的な違いが明らかになります。

次の単一ステートメント関数について考えてみましょう。

var evaluate = function(string) {
    return eval('('   string   ')');
}

var func = function(string) {
    return (new Function( 'return ('   string   ')' )());
}

console.log(evaluate('2   1'));
console.log(func('2   1'));

これら 2 つの関数の動作は同じですか?一般に信じられていることに反して、それらは違います。

eval() と new Function()

• eval(): 解釈します現在の実行スコープ内の JavaScript 式としての文字列。ローカル変数にアクセスする機能があります。
• new Function(): JavaScript コードを含む文字列から関数オブジェクトを構築します。この関数は、ローカル変数から分離された別のスコープで実行されます。

この違いを説明するために、次の関数を考えてみましょう。

function test1() {
    var a = 11;
    eval('(a = 22)');
    alert(a);            // alerts 22
}

この例では、eval() は test1() 関数内のローカル変数 'a' を変更し、その結果アラート 22 が発生します。ただし、new Function('return (a = 22);')()、ローカル変数 'a' は変更されません。

影響と注意

eval() と new Function() は両方ともその目的を果たしますが、eval() には固有のセキュリティ リスクが伴うことに注意することが重要です。ローカル変数にアクセスし、グローバル スコープを変更する可能性があるその機能は、意図しない結果を引き起こす可能性があります。

そのため、一般に、絶対に必要な場合を除き、eval() の使用を避けることをお勧めします。 eval() に渡される信頼できないデータは、アプリケーションのセキュリティを危険にさらす可能性があります。同様に、信頼できない入力を処理する場合、 new Function() は注意して使用する必要があります。