--disallow-code-generation-from-strings does not work as documented

Doc: https://nodejs.org/docs/latest/api/cli.html#--disallow-code-generation-from-strings

It is advertised to cover built-in language features, but it doesn't cover data imports

No Node.js modules are directly imported here

// run with node and node --disallow-code-generation-from-strings
const payload = 'console.log("evaluated code from string")'
try { eval(payload) } catch (e) { console.log(e.message) }
try { new Function(payload)() } catch (e) { console.log(e.message) }
try { await import('data:text/javascript,' + payload) } catch (e) { console.log(e.message) }

Output:

% node --disallow-code-generation-from-strings 1.js
Code generation from strings disallowed for this context
Code generation from strings disallowed for this context
evaluated code from string

issue の 1.js の再現を Node.js と --disallow-code-generation-from-strings を付けた場合の両方で実行し、eval、new Function、データインポートの結果を、issue にリンクされている CLI ドキュメントと比較します。データインポートに対するこのオプションの処理を追跡します。観測された動作がドキュメントに記載された対象範囲と一致し、3 つすべてのケースに回帰テストのカバレッジがあれば完了です。