python强大但很危险的一个函数eval()

yumo6664个月前 (05-21)技术文章32

在 Python 中，eval() 是一个强大但危险的函数，用于执行字符串形式的 Python 表达式。以下是深度解析：

一、基础用法

result = eval(expression, globals=None, locals=None)

参数：

expression：字符串形式的 Python 表达式
globals/locals：可选命名空间字典

返回值：表达式执行结果

示例：

x = 10
print(eval("x + 5"))  # 输出 15
print(eval("'hello'.upper()"))  # 输出 'HELLO'

二、关键特性

1.动态计算数学表达式

import math
print(eval("math.sqrt(16)"))  # 输出 4.0

2.变量访问控制

通过命名空间限制可访问对象：

eval("x + y", {"x": 1, "y": 2})  # 输出 3
eval("os.system('ls')", {"__builtins__": None})  # 报错：os未定义

3.与exec()的区别

特性	eval()	exec()
返回值	返回表达式结果	始终返回None
可执行内容	单条表达式	多行代码/语句
示例	eval("1+1") → 2	exec("x=1+1") → 无返回值

三、安全风险与防护

1.高危操作示例

# 删除文件（绝对不要在生产环境使用！）
eval("__import__('os').system('rm -rf /')")

# 窃取敏感信息
eval("open('/etc/passwd').read()")

2.防护方案

方案1：限制命名空间

safe_dict = {"__builtins__": None}  # 禁用内置函数
eval("1+1", safe_dict)  # 安全
eval("open('file')", safe_dict)  # 报错

方案2：使用ast.literal_eval()（推荐）

from ast import literal_eval
literal_eval("[1, 2, 3]")  # 安全返回列表
literal_eval("__import__('os')")  # 报错：仅支持字面量

方案3：白名单过滤

def safe_eval(code):
    allowed_chars = set("0123456789+-*/(). ")
    if not all(c in allowed_chars for c in code):
        raise ValueError("非法字符")
    return eval(code)

四、实用场景

1.配置文件动态解析

config = """
{
    "timeout": 30,
    "retry": True,
    "plugins": ["pandas", "numpy"]
}
"""
settings = eval(config)  # 转换为字典

2.数学公式计算器

def calculate(formula):
    try:
        return eval(formula, {"math": math})
    except Exception as e:
        return f"错误: {e}"

calculate("math.sin(math.pi/2)")  # 输出 1.0

3.动态条件过滤

users = [{"name": "Alice", "age": 25}, {"name": "Bob", "age": 18}]
condition = "user['age'] >= 20"
filtered = [user for user in users if eval(condition, {"user": user})]
# 输出: [{'name': 'Alice', 'age': 25}]