evalを使うinputがある場合も安全に運用する

質問

https://okwave.jp/qa/q9368497.html
のつづき

evalを使うinputがある場合も安全に運用するために、エスケープしたいのですが、
下記のご回答で問題ないでしょうか？
>>>
「四則演算子、数字、括弧」以外は削除されます。<br>
また式として成立しない文字列は計算できません。<br>
<input type="text" name="gakunen" value="" onKeyPress="Calculator(this.value, event.keyCode)">

<script type="text/javascript">
<!--
function Calculator(a, kcode){
var r;
if (!(13==kcode)){return;}
// ↑「13：Enterキー」でない場合は「return」
r = a;
r = r.replace(/[ ]*([\-\/\*\+])[ \-\/\*\+]*/g, '$1');
r = r.replace(/^([ ]*[\/\*\+][ \-\/\*\+]*)/g, '');
r = r.replace(/([^0-9\.\-\/\*\+\(\) ]+)/g, ' ');
r = r.replace(/([ ]+)/g, ' ');
try{
alert(r+' = '+eval(r));
}catch(ex){
alert(ex.message+' : '+r);
}
}
// -->
</script>

またエスケープの表記位置はevalを実行する前であればどこでも良いのでしょうか？

回答No.22

amanojaku1 · ベストアンサー

>!"#$%&',:;<=>?@ABCDEFGHIJKLMNOPQRSTUVWXYZ[\]^_`abcdefghijklmnopqrstuvwxyz{|}~
>をInputに入れてアラートの処理が実行されるか確かめてみます

「catch内が実行されるか(アラートの処理が実行されるか)」ではなく

>r = r.replace(/([^0-9\.\-\/\*\+\(\) ]+)/g, ' ');
>r = r.replace(/([\*\/])[ \+\-\*\/]*([\+\-])[ ]*([0-9\.\(]+)/g, '$1$2$3');
>r = r.replace(/[\+\-][ \+\-\*\/]*([\+\-])[ ]*([0-9\.\(]+)/g, '$1$2');
>r = r.replace(/(^|\()[ \+\-\*\/]*([\+\-])/g, '$1$2');
>r = r.replace(/(^|\()[ \+\-\*\/]*[\*\/]/g, '$1');
>r = r.replace(/([\+\-\*\/])[ \+\-\*\/]*[\*\/][ ]*([0-9\.\(]+)/g, '$1$2');
>r = r.replace(/([ ]+)/g, ' ');

↑この「r」変数の値が''(ヌル文字)(文字が何も無い文字列)になるか、実際の「r」変数の値を表示してみて下さい。

回答No.1

H240S18B73

とりあえず1*-1ができない

お礼

マイナスをかけることが出来ないという事でしょうか？

他はできるのですね。