Se sustituye eval por motivos de seguridad

La operación tiene su intríngulis. Cuando un trámite abre el buscador, la ventana del buscador y la del trámite son dos páginas distintas, y para hablarse usan el único hilo que las une: la ventana hija sabe quién la abrió y puede llamar a una función de la madre. Qué función hay que llamar no lo sabe el buscador de antemano, porque depende del trámite, así que el nombre le llega escrito en la dirección, en un parámetro, uno de los datos que viajan al final de ella, llamado callback.

Con ese nombre y con los datos del epígrafe elegido hay que montar la llamada. Y aquí aparece el comentario, justo debajo de otro que explica el propósito de la función. Dice, con todas las letras, que se sustituye eval por new Function por motivos de seguridad, y añade entre paréntesis la razón técnica: los privilegios de eval. Es un comentario bien escrito, que dice qué se cambió y por qué, en una línea.

Traducido: eval es la orden que coge un texto y lo ejecuta como si fuera programa, y lo hace ahí mismo, dentro de la función que la llama, con acceso a todas sus variables, los datos con los que esa función está trabajando. new Function hace algo parecido desde fuera: fabrica una función con ese texto y la ejecuta sin ver las variables de quien la llama, solo las que son de toda la página. Esos son los privilegios de eval que se querían quitar. El diagnóstico es correcto, y el cambio, razonable.

El texto que se va a ejecutar se arma pegando cachos: la llamada a la función de la ventana madre, y entre comillas el tipo, la sección y el número de epígrafe, que el programa lee de los atributos de la tarjeta que el usuario acaba de pulsar. Si hay más parámetros, se añaden en un bucle, con sus comillas. Al final, un paréntesis y un punto y coma: una línea de programa escrita en el momento. El nombre que llega en la dirección no se pega en el texto: el texto dice callbk, y el nombre se busca al ejecutarlo.

Y llega el momento de ejecutarla. Las dos líneas que hacen lo que anuncia el comentario, crear la función con new Function y llamarla, están ahí, una debajo de otra, desactivadas con dos barras delante, que convierten una línea de programa en un comentario. No se ejecutan. Debajo hay cuatro líneas nuevas: se crea un elemento script, la etiqueta con la que una página lleva su programa, se le mete dentro el texto, se cuelga de la cabecera del documento y se quita acto seguido, como quien entra a dejar un recado y sale sin sentarse.

Colgar un script del documento ejecuta su contenido: es lo que hace el navegador con cada script de cada página. El texto corre, pues, como correría con eval o con new Function. Y corre desde fuera de la función, viendo solo las variables de toda la página, igual que con new Function. En lo que explica el comentario, los privilegios de eval, el tercer camino está del mismo lado que el segundo. Lo que ya no cuadra es el comentario, que anuncia un new Function que no se ejecuta. Por qué se cambió otra vez, el fichero no lo dice.

Los tres caminos comparten una cosa: la llamada se escribe primero como texto y después se ejecuta. Una vez ejecutada, esa línea hace una sola cosa, llamar a la función de la ventana madre con el tipo, la sección, el epígrafe y los parámetros. JavaScript, el lenguaje de los programas que corren en el navegador, permite también hacer esa llamada directamente, con los valores, sin texto de por medio. El comentario habla de cómo ejecutar el texto; de escribirlo no dice nada.

Falta saber de dónde salen los valores y cuándo se llega aquí. El tipo, la sección, el epígrafe y los parámetros se leen de la tarjeta que pinta el propio buscador con los datos de su búsqueda. El nombre de la función llega en la dirección. Y el botón que pone todo esto en marcha solo se pinta en las tarjetas con cuatro condiciones. La dirección tiene que traer ese nombre y no traer el identificador de convenio, que es la marca del asistente. El navegador tiene que decir de qué página se viene. Y la ventana madre tiene que tener de verdad una función con ese nombre.

Todo el bloque, además, va envuelto en un try, una red que recoge los errores: si algo falla, lo escribe en la consola del navegador con el nombre del fichero delante, y la ventana se queda abierta. Si todo va bien, después de la llamada se mandan los datos de la elección para las estadísticas del buscador y la ventana se cierra sola, con el epígrafe ya entregado al trámite que la abrió.