[EVAL] Direct `eval` warning from @protobufjs/inquire during Vite 8 build

Aperta
  • Qualcosa non va?
#486 0 commenti 0 reazioni 0 assegnatari Vedi su GitHub

I maintainer di solito rispondono entro 1 giorno

Nessuno ha ancora preso questa issue.

Valutazione

Difficoltà
3/5
Tempo stimato
1-2 giorni
Idoneità per principianti
48/100
Tipo di issue
Bug
Chiarezza
Abbastanza chiara
Stato di attività
Tranquilla
Stack tecnologico
typescript, vite
Ambito
build-system, frontend

Direzione di ricerca

Start in vite.config and reproduce the Vite 8/Rolldown build to confirm the warning from node_modules/@protobufjs/inquire/index.js:12. Compare the suppression and browser-alias options described in the issue, then verify that the build succeeds without this warning and that browser behavior is unchanged.

Scritto dal modello di indicizzazione a partire dal testo della issue.

Descrizione

Warning

During the build/dev process (Vite 8 / Rolldown), the following warning appears:

[EVAL] Use of direct `eval` function is strongly discouraged as it poses security risks and may cause issues with minification.
    ╭─[ node_modules/@protobufjs/inquire/index.js:12:19 ]
    │
 12 │         var mod = eval("quire".replace(/^/,"re"))(moduleName); // eslint-disable-line no-eval
    │                   ──┬─
    │                     ╰─── Use of direct `eval` here.
    │
    │ Help: Consider using indirect eval. For more information, check the documentation: https://rolldown.rs/guide/troubleshooting#avoiding-direct-eval
────╯

Source

The eval call lives in @protobufjs/inquire (a transitive dependency pulled in via protobufjs, used by our Cosmos/protobuf tooling). It uses direct eval to conditionally require optional native modules in Node — code that is never actually needed in the browser bundle.

This is a third-party dependency, not our own code, so we can't fix the source directly. The warning is emitted by Rolldown (the bundler behind Vite 8) which flags direct eval because it defeats minification/scope analysis.

Impact

  • Cosmetic warning only — build still succeeds.
  • No runtime security risk in our bundle (the eval path is dead code in the browser).

Possible remediations

  1. Suppress the warning — configure Vite/Rolldown to ignore this specific warning for the @protobufjs/inquire module.
  2. Alias/stub the module — since inquire is only for optional Node-only native modules, alias @protobufjs/inquire to an empty/no-op module in vite.config resolve.alias for browser builds.
  3. Wait for upstream — track whether protobufjs/@protobufjs/inquire moves to indirect eval.

References

Lingua principale
TypeScript
Stelle
2
Fork
5
Merge medio
22h 35m
PR unite (30g)
91

Preparare l'ambiente

Non abbiamo ancora controllato i file di configurazione di questo progetto. Parti dal suo README e consulta la nostra guida al primo contributo per i passaggi generali.

Come iniziare

  1. Leggi tutta la issue e poi la guida ai contributi del progetto.
  2. Commenta sulla issue per dire che te ne occupi tu — evita che due persone facciano lo stesso lavoro.
  3. Fai un fork del repository e lavora su un branch.
  4. Apri una pull request che faccia riferimento al numero della issue.

Altre issue di block52/ui

Tutte le issue di block52/ui

Issue simili

Altre issue su TypeScript

Ricevi le nuove issue nella tua casella

Un breve riepilogo di issue GitHub adatte ai principianti.