JavaScript探秘：eval()是“魔鬼”

如果你現在的程式碼中使用了eval()，記住該咒語「eval()是魔鬼」。此方法接受任意的字串，並當作JavaScript程式碼來處理。當有問題的程式碼是事先知道的（不是運行時確定的），沒有理由使用eval()。如果程式碼是在運行時動態生成，有一個更好的方式不使用eval而達到相同的目標。例如，用方括號表示法來存取動態屬性會更好更簡單：

// 反面示例
var property = "name";
alert(eval("obj." + property));
 
// 更好的
var property = "name";
alert(obj[property]);

使用eval()也帶來了安全隱患，因為被執行的程式碼（例如從網路來）可能已被篡改。這是很常見的反面教材，當處理Ajax請求得到的JSON 相應的時候。在這些情況下，最好使用JavaScript內建方法來解析JSON相應，以確保安全且有效。若瀏覽器不支援JSON.parse()，你可以使用來自JSON.org的函式庫。

同樣重要的是要記住，給setInterval(), setTimeout()和Function()構造函數傳遞字串，大部分情況下，與使用eval()是類似的，因此要避免。在幕後，JavaScript仍需要評估和執行你給程式傳遞的字串：

// 反面示例
setTimeout("myFunc()", 1000);
setTimeout("myFunc(1, 2, 3)", 1000);
 
// 更好的
setTimeout(myFunc, 1000);
setTimeout(function () {
   myFunc(1, 2, 3);
}, 1000);

使用新的Function()構造就類似於eval()，應小心接近。這可能是一個強大的構造，但往往被誤用。如果你絕對必須使用eval()，你可以考慮使用new Function()來代替。有一個小的潛在好處，因為在新Function()中作程式碼評估是在局部函數作用域中運行，所以程式碼中任何被評估的透過var 定義的變數都不會自動變成全域變數。另一種方法來阻止自動全域變數是封裝eval()呼叫到一個即時函數中。

考慮下面這個例子，這裡僅un作為全局變數污染了命名空間。

console.log(typeof un);     // "undefined"
console.log(typeof deux);   // "undefined"
console.log(typeof trois);  // "undefined"
 
var jsstring = "var un = 1; console.log(un);";
eval(jsstring);             // logs "1"
 
jsstring = "var deux = 2; console.log(deux);";
new Function(jsstring)();   // logs "2"
 
jsstring = "var trois = 3; console.log(trois);";
(function () {
   eval(jsstring);
}()); // logs "3"
 
console.log(typeof un);     // number
console.log(typeof deux);   // "undefined"
console.log(typeof trois);  // "undefined"

另一間eval()和Function構造不同的是eval()可以乾擾作用域鏈，而Function()更安分守己些。不管你在哪裡執行 Function()，它只會看到全域作用域。所以其能很好的避免本地變數污染。在下面這個例子中，eval()可以存取和修改它外部作用域中的變量，這是 Function做不來的（注意到使用Function和new Function是相同的）。

(function () {
   var local = 1;
   eval("local = 3; console.log(local)"); // logs "3"
   console.log(local); // logs "3"
}());
 
(function () {
   var local = 1;
   Function("console.log(typeof local);")(); // logs undefined
}());