eval 是 JavaScript 中高危函数，将字符串作为代码执行，易导致 XSS、性能差、调试难、作用域混乱；应禁用，改用 JSON.parse、方括号访问、Reflect.apply 等安全替代方案。
eval 是 JavaScript 中一个内置函数，作用是把传入的字符串当作 JavaScript 代码来解析并执行。
它能做什么？
比如你有字符串 "2 + 3 * 4"，用 eval("2 + 3 * 4") 就会返回 14；再比如动态拼接变量名或函数调用：eval("obj." + key)、eval(funcName + "()")。看起来很灵活，尤其在老代码或某些“动态执行”场景里出现过。
为什么强烈不建议使用？
主要问题不是“功能弱”，而是风险高、性能差、可维护性极低：
-
安全风险极大：如果字符串来自用户输入、URL 参数、接口响应等不可信来源，攻击者可能注入恶意代码，比如
eval("alert('xss'); fetch('/api/delete?user='+user)")，直接导致 XSS 或数据泄露。 -
无法被现代工具优化：JavaScript 引擎（如 V8）对
eval内容几乎不做编译优化，也无法做静态分析、压缩、语法检查，调试时也看不到原始位置，堆栈信息混乱。 -
破坏作用域隔离：在非全局作用域中调用
eval，它仍可能访问和修改外层变量，行为难以预测；而Function构造器虽然也有风险，但至少作用域更干净。 -
绝大多数场景都有更好替代方案：JSON 解析用
JSON.parse；动态属性访问用方括号obj[key]；动态函数调用可用obj[funcName]?.()或Reflect.apply；配置驱动逻辑可用查表法或策略模式。
有没有例外情况？
几乎没有真正安全且不可替代的场景。即使测试、沙箱、DSL 解析等需求，也应优先考虑 Function 构造器（仍需严格校验字符串）、Web Worker 隔离，或专用解析器（如 acorn、esprima）。Node.js 中的 vm 模块虽提供沙箱，但配置复杂、性能损耗大，也不推荐轻易使用。
立即学习“Java免费学习笔记（深入）”；
不复杂但容易忽略：只要字符串内容不完全由开发者静态控制，就别碰 eval。
