间接调用eval指通过别名、属性访问等方式调用，如const e = eval; e("x=42")，它绕过严格模式保护，使eval可修改外层变量，导致作用域污染、静态分析失效和防御措施被绕过；Python无此概念，但getattr(__builtins__, 'eval')等写法同样危险，真正缓解方式是禁用动态执行，改用simpleeval、JSON解析或AST白名单校验。
间接调用 eval 无法真正“改变”作用域范围，它只是绕过语言内置的保护机制，让 eval 行为退回到非严格模式下的危险默认状态——即能读写当前作用域变量。这不是功能增强，而是安全降级。
什么是间接调用？
JavaScript 中，直接调用指以 eval(...) 形式出现的调用；间接调用指通过其他引用（如别名、属性访问）触发，例如：
const e = eval; e("x = 42");globalThis.eval("x = 42");Function('return eval')()("x = 42");
关键点：间接调用会强制进入非严格模式语义，即使代码整体在 'use strict' 下。此时 eval 不再创建独立作用域，而是可自由修改外层 let/const 变量（在某些引擎中甚至突破块级作用域限制）。
为什么它更危险？
间接调用带来三重失控风险：
- 作用域污染不可控：原本被严格模式隔离的局部变量，可能被字符串代码意外覆盖或泄漏
-
静态分析失效：工具（如 ESLint、TypeScript）通常只识别直接
eval调用，间接形式易被漏检 -
防御措施绕过：比如在函数开头加
'use strict'对间接调用完全无效
Python 中没有“间接调用”概念，但有等效陷阱
Python 的 eval() 本身不区分调用方式，但开发者常误以为“换种写法就更安全”。例如：
-
getattr(__builtins__, 'eval')('2+2')—— 仍执行任意表达式 -
exec(compile('x=1', '', 'eval'))—— 本质仍是动态求值，未提升安全性 - 用
globals().get('eval')动态取函数再调用 —— 同样绕过代码审查标记
这些操作不改变 eval 的底层行为，只让危险代码更难被自动化工具发现。
真正有效的缓解方式
不要试图“控制间接调用”，而应彻底移除对动态执行的依赖：
- 数学计算用
simpleeval或numexpr，它们默认禁用函数调用和模块访问 - 配置解析优先选 JSON/YAML +
pydantic验证，而非拼接字符串再 eval - 需变量代入时，用
string.Template或str.format()做纯文本替换，绝不执行 - 必须支持用户定义逻辑时，用白名单 AST 解析器（如自定义
ast.NodeVisitor），只允许BinOp、Num、Name等安全节点
