JS 老将谈 Bun AOT：eval 是 AI 时代的 RCE 隐患，该从语言里砍掉
cramforce · x · 2026-10-19
Bun 作者 Jarred Sumner 感叹「带完整生态兼容的 AOT JS/TS 将是 Node 以来最令人兴奋的事」，Google 工程师 cramforce（Malte Ubl）引用并展开技术讨论。
- 对其 scriptc 项目：纯 AOT 几乎可做到 100% 生态兼容，但有两个无法逾越的点——eval 和「基于计算出的文件路径 require」（本质也是 eval）。
- 部分场景可通过编译整个可达文件集来逼近支持，但通用情况无解。
- 核心主张：AI 时代该从 JS/TS 中废除 eval——一次未受控的 .constructor 读取就可能造成 RCE；bun --aot 为支持这条 RCE 路径需打包约 100MB 依赖，得不偿失，少数合法场景应让应用自行 opt-in 内嵌 QuickJS 或简易解释器。
- 他认为正确目标是完整生态兼容，让 AI 重写那极少数无法 AOT 的库。
「编程与Agent」频道最新
- LangChain 办生命科学 Agent 工程研讨会：构建与评估科研智能体 — LangChain · 2026-10-19
- Librarian Agents 论文：让智能体自建长上下文工作区应对专业领域查询 — charles_irl · 2026-10-19
- Delta、摩根大通等大企业在门口拒收外部 AI Agent，治理成落地关键 — alex_verem · 2026-10-19
- Claude 使用 80/20 法则：CLAUDE.md、Skills、MCP 六个功能替代六个坏习惯 — alex_verem · 2026-10-19
- 开源 ai-memory 让 Claude Code、Codex 等 20 多个 AI 编码工具共享同一份记忆 — alex_verem · 2026-10-19
- DeepSeek V4.1 Flash 携手写 CUDA 内核登顶 KernelBench 解码榜 — scaling01 · 2026-10-19