模板字符串仅执行表达式求值并拼接字符串，不创建执行上下文；eval则在调用处动态执行任意代码，可读写当前作用域变量，存在严重安全风险。
eval 执行上下文是动态的、可变的，而模板字符串本身不执行代码，它只是字符串拼接工具；两者根本不在同一语义层级上——模板字符串不会“执行”任何东西，更不存在“执行上下文”。
eval 的执行上下文：真实、可侵入、有风险
eval 在调用处的执行上下文中运行，能直接读写当前作用域的变量（包括函数内局部变量、闭包变量、全局变量）。它不是沙盒，没有隔离。
- 在函数内部调用 eval，它就能访问该函数的所有局部变量
- 若用户输入恶意字符串（如
document.cookie; alert(1)），eval 会照单执行 - 无法通过语法或类型系统限制其行为，完全依赖开发者对输入源的信任程度
模板字符串：纯文本组装，零执行能力
反引号包裹的 `Hello ${name}` 只做值替换，生成普通字符串。其中的 ${...} 是表达式求值（expression evaluation），但这个求值发生在模板解析阶段，由 JavaScript 引擎按常规规则执行——它不是字符串解释执行，也不经过 eval 流程。
Toingg Ops Toolkit
下载
一款AI音频处理工具，主要用于通过向 `toingg/make_campaign` API 发送 POST 请求，提交用户提供的 JSON 数据，创建并启动 Toingg 语音呼叫活动，适用于 Codex 将活动简报……，适合需要提升相关任务效率的用户。
-
${x + y}等价于先计算x + y，再转为字符串拼接，全程走标准执行路径 - 不能动态构造并执行语句（比如
${if (x) {...}}语法错误） - 不引入新作用域，也不改变执行上下文；它只是语法糖，不是执行机制
容易混淆的“动态执行”假象
有人误以为 `x = ${value}` 类似 eval，其实它连变量赋值都做不到。真正想实现“根据字符串名读取变量”，必须借助其他机制（如 obj[key]、with（已废弃）、或显式传入作用域对象），而这些都不是模板字符串的能力。
- 模板字符串中不能出现
function、for、return等语句 - 它不接受字符串形式的代码，只接受 JS 表达式（且必须有返回值）
- 即便配合
new Function或eval使用，那也是外部调用者的行为，与模板字符串本身无关
安全替代思路：用结构代替字符串执行
当业务需要“动态逻辑”，优先考虑数据驱动而非字符串驱动：
- 把规则抽象为配置对象（如
{ op: 'add', a: 'x', b: 'y' }），再用预定义函数处理 - 使用
new Function('a', 'b', 'return a + b')显式声明参数，避免作用域污染 - 对用户输入做白名单校验，或用 AST 解析器（如 acorn）做静态分析，拒绝非法结构
