setTimeoutの第1引数に文字列が指定できる

setTimeout('alert(1)', 1);

第1引数に文字列を指定できるのを今まで知りませんでした。

• window.setTimeout - DOM | MDN

Firefox Addonsのレビューで、セキュリティの観点から、setTimeoutの第1引数に文字列を指定するな、、って言われて、初めて気が付きました。
ちなみに、指摘されたコードは、文字列を指定しておらず、そのまま関数を指定している箇所だったのですが、どちらにせよ、function expressions じゃないとAMOのvalidationにひっかかるようです。