--disallow-code-generation-from-strings does not work as documented

Doc: https://nodejs.org/docs/latest/api/cli.html#--disallow-code-generation-from-strings

It is advertised to cover built-in language features, but it doesn't cover data imports

No Node.js modules are directly imported here

// run with node and node --disallow-code-generation-from-strings
const payload = 'console.log("evaluated code from string")'
try { eval(payload) } catch (e) { console.log(e.message) }
try { new Function(payload)() } catch (e) { console.log(e.message) }
try { await import('data:text/javascript,' + payload) } catch (e) { console.log(e.message) }

Output:

% node --disallow-code-generation-from-strings 1.js
Code generation from strings disallowed for this context
Code generation from strings disallowed for this context
evaluated code from string

Chạy bản tái hiện 1.js của issue bằng Node.js và với --disallow-code-generation-from-strings, sau đó so sánh kết quả của eval, new Function và các lần import dữ liệu với tài liệu CLI được liên kết trong issue. Truy vết cách xử lý tùy chọn này đối với các lần import dữ liệu; được xem là hoàn tất khi hành vi quan sát được khớp với phạm vi được tài liệu hóa, với độ bao phủ hồi quy cho cả ba trường hợp.