eval函数的用法和危害以及避免方法

1.eval函数及其作用

在python中，eval函数是让字符串型的list、tuple和字典转为list、tuple和dic的一个方法。

例子如下：

2.eval函数的实质

eval的语法格式如下：
eval(expression[, globals[, locals]])
expression ： 字符串
globals ： 变量作用域，全局命名空间，如果被提供，则必须是一个字典对象。
locals ： 变量作用域，局部命名空间，如果被提供，可以是任何映射对象。

eval函数本质是在执行一系列表达式。

eval函数可以执行不同命令。

3.eval函数的危害

eval虽然方便，但是要注意安全性。eval本质是将字符串转成表达式并执行，就可以利用执行系统命令，删除文件等操作。
假设用户恶意输入。比如：
eval("__import__('os').system('ls /Users/ad/Downloads/')")1
那么eval()之后，你会发现，当前文件夹文件都会展如今用户前面。这句其实相当于执行了
os.system('ls /Users/ad/Downloads/')
那么继续输入：
eval("__import__('os').system('cat /Users/ad/Downloads/tls_asimov_cert.pem')")
代码都给人看了。
再来一条删除命令，文件消失。比如
eval("__import__('os').system('rm /Users/ad/Downloads/test.png')"

4.eval函数危害避免的方法

避免eval函数的危害可行方法是执行ast.literal_eval方法。

python关于ast.literal_eval的介绍如下：

ast.literal_eval raises an exception if the input isn't a valid Python datatype, so the code won't be executed if it's not.

也就是说，ast.literal_eval会避免危险的做法，比如：

而且，官方给的说明是：能用eval的地方（除非让eval必须执行相关命令），都可以用ast.literal_eval方法。