【Python】python中eval()函数深入学习及安全使用指南

eval() 是Python中的一个强大函数，用于动态执行字符串形式的表达式。其语法为 eval(expression, globals=None, locals=None)，可以自定义全局和局部命名空间。尽管功能强大，但eval() 因其能够执行任意代码存在安全风险，不应直接用于处理用户输入。如需使用，建议控制表达式内容并限制可用的命名空间。对于简单的字符串解析，推荐使用更安全的 ast.literal_eval 函数。总之，eval() 适用于特定情景，使用时需尤为谨慎，确保在受控环境中操作，以避免潜在的安全隐患。通过理解其工作原理和最佳实践，可以有效提升代码的安全性和功能性。

---

🧑 博主简介：现任阿里巴巴嵌入式技术专家，15年工作经验，深耕嵌入式+人工智能领域，精通嵌入式领域开发、技术管理、简历招聘面试。CSDN优质创作者，提供产品测评、学习辅导、简历面试辅导、毕设辅导、项目开发、C/C++/Java/Python/Linux/AI等方面的服务，如有需要请站内私信或者联系任意文章底部的的VX名片（ID：gylzbk）

💬 博主粉丝群介绍：① 群内初中生、高中生、本科生、研究生、博士生遍布，可互相学习，交流困惑。② 热榜top10的常客也在群里，也有数不清的万粉大佬，可以交流写作技巧，上榜经验，涨粉秘籍。③ 群内也有职场精英，大厂大佬，可交流技术、面试、找工作的经验。④ 进群免费赠送写作秘籍一份，助你由写作小白晋升为创作大佬。⑤ 进群赠送CSDN评论防封脚本，送真活跃粉丝，助你提升文章热度。有兴趣的加文末联系方式，备注自己的CSDN昵称，拉你进群，互相学习共同进步。

@TOC

概述

eval() 是Python内置的一个非常强大且灵活的函数，用于动态地执行表达式（表达式是字符串类型的Python代码）。虽然功能强大，但因其具有潜在的安全风险，所以需要谨慎使用。本文将深入探讨 eval() 的使用及注意事项。

---

1. 基本用法

eval() 函数的基本语法如下：

eval(expression, globals=None, locals=None)

• expression: 要计算的表达式，必须是一个字符串。
• globals: 可选，指定全局命名空间（通常为字典）。
• locals: 可选，指定局部命名空间（通常为字典）。

示例

# 简单算术运算
result = eval('3 + 5')
print(result)  # 输出 8

# 使用变量
x = 10
result = eval('x * 2')
print(result)  # 输出 20

# 调用函数
def greet(name):
    return f"Hello, {name}!"

result = eval('greet("Alice")')
print(result)  # 输出 'Hello, Alice!'

---

2. 使用全局和局部命名空间

可以自定义全局和局部命名空间来控制 eval() 的执行环境。

示例

# 自定义全局命名空间
safe_globals = {'__builtins__': None}
safe_locals = {'x': 2, 'y': 3}

result = eval('x + y', safe_globals, safe_locals)
print(result)  # 输出 5

# 添加函数到命名空间
safe_locals['sqrt'] = lambda x: x ** 0.5
result = eval('sqrt(16)', safe_globals, safe_locals)
print(result)  # 输出 4.0

---

3. 安全注意事项

由于 eval() 可以执行任意代码，它可能带来安全风险。如果输入不是完全受信任的数据，可能会导致代码注入攻击。以下是一些最佳实践：

不要直接使用 eval() 处理用户输入

# 不推荐的做法
user_input = "import os; os.system('rm -rf /')"
eval(user_input)  # 这可能会删除整个文件系统！

仅允许受控的表达式

# 控制表达式内容
allowed_globals = {'__builtins__': None}
allowed_locals = {'x': 10, 'y': 20}

# 仅允许安全的表达式
user_input = "x + y"
result = eval(user_input, allowed_globals, allowed_locals)
print(result)  # 输出 30

使用 ast.literal_eval

对于简单的数据类型解析，使用 ast.literal_eval 更安全：

import ast

user_input = "[1, 2, 3]"
result = ast.literal_eval(user_input)
print(result)  # 输出 [1, 2, 3]

ast.literal_eval 仅允许解析基本的Python数据结构（如字符串、数字、元组、列表、字典、布尔值和 None），并且不会执行任意代码。

---

总结

eval() 是一个灵活且功能强大的Python内置函数，但因其潜在的安全风险，使用时需极为谨慎。确保在必要时仅执行受控的表达式，并尽可能使用更安全的替代方案如 ast.literal_eval。通过合理使用命名空间，可以有效控制 eval() 的执行环境，提升代码安全性。

希望这篇文章能帮助你更好地理解和安全地使用 eval() 函数。如果有任何问题或需要进一步的帮助，欢迎留言讨论！