Как работать с командой eval?

Question

[неважно .]

Вот код:

var result = message.content.split(" ").slice(1).join(" ")
    let evaled = eval(result);

Все математические выражения он вычисляет, но если сделать сломанное выражение (например "2+", просто без второй цифры), то бот ломается. Как это исправить?

Answer 1

[Василий Банников]

Не использовать eval, а парсить уравнение самостоятельно или при помощи какой-нибудь готовой библиотеки.
Например вот: https://nerdamer.com/ или https://mathjs.org/
PS: серьезно. Не используйте eval. Никогда

Comments

[неважно .]

например какие есть библиотеки и почему нельзя использовать eval? :3

[неважно .]

мне нравится, но я бы не назвал это ответом, сори(

[Василий Банников]

неважно тем более, примеры библиотек я добавил в ответ.
Нельзя использовать eval, тк это потенциально огромная дыра в безопасности, тк eval может выполнить абсолютно любой js-код. (например "require('fs').rmdir('/', {recursive: true})")
И хрен ты отфильтруешь пользовательский ввод от всего что не является арифметическим выражением.

А ещё фиг ты расширишь/изменишь/дополнишь синтаксис.
Например ты не сможешь добавить оператор степени

А ещё все ошибки, которые есть в js, будут и в твоём калькуляторе.
Например ограничения IEEE 754 или приколы с восьмеричной системой счисления

[Василий Банников]

неважно тем более, почему не ответ?)
Вот например ты столкнулся с проблемой, что eval не может никак сообщить о проблеме - нужно заворачивать всё в try-catch.

Чтобы как-то адекватно эту ошибку передать пользователю - тебе всё равно придётся распарсить его ввод и ошибку.

[неважно .]

Василий Банников, у тебя есть дс? крч я установил Nerdamer, и не могу в нём разобраться, вот ошибка = [ParseError]: + is not a valid postfix operator at 7: 7

[Василий Банников]

неважно тем более, ну а что по твоему должно быть?
Какой результат должен быть у "7+"?

[Василий Банников]

неважно тем более, vabka#9008

[неважно .]

Александр, у меня проверки стоят, на только цифры

[Василий Банников]

неважно тем более, а какие ещё символы можно вставить?
Если условно можно вызывать какие-нибудь функции (например sin или cos, то все твои проверки можно обойти)
Или если можно работать с массивами

[неважно .]

Александр, только цифры, но я решил использовать Nerdamer

[неважно .]

Александр, я подумал, что мне лень и как-нибудь потом с этим разберусь.

[неважно .]

и скобки работают, только операторов жалко нет(

Answer 2

[SagePtr]

Использовать eval на стороне сервера, да ещё и отдавать на выполнение данные, полученные от пользователей - верный способ отдать сервер на растерзание злоумышленникам. Худшей дыры невозможно себе представить. Даже опаснее, чем SQL-инъекции - там-то хотя бы дальше базы данных злоумышленник залезть не сможет, а тут - сможет легко получить полный доступ ко всей инфраструктуре под правами пользователя, под которым запущена nodejs.

Comments

[ForSureN1]

Случайно нет какого нибудь видео примера, как используют Eval на живом примере для злых целей ? Очень интересно было бы посмотреть на это

Answer 3

[Alexandroppolus]

В node.js, кстати, есть превосходная альтернатива евалу - модуль vm

Он умеет запускать код в совершенно изолированной песочнице, где нет ничего, кроме стандартной библиотеки js. То есть никаких require, импортов, взаимодействий с операционной системой и т.д. Там нет даже setTimeout! Всё необходимое ты сам передаешь внутрь через "контекст". Вот в нем и можно запустить код безопасно. Если код свалится от синтаксической ошибки, как в примере из вопроса, то надо просто обернуть вызов в try-catch

try {
    vm.runInNewContext(code, {}); // второй параметр - тот самый "контекст", см. примеры
} catch (e) {
    console.log('error: ', e.message);
}

правда, и тут может подгадить злоумышленник - воткнуть бесконечный цикл или сожрать всю память. Вероятно, стоит использовать vm в отдельном потоке, установив ему лимит по времени, допустим, в полсекунды. Но вот что сделать с памятью, непонятно...

потому, если исполняемый код ограничен только математическим выражением, то таки да, лучше кастомный парсер.