不要这样。Eval和Exec来自不受信任的输入,dangerous,没有合理的方法使它们安全:
使用来自不可信输入的eval或exec意味着您可以获得如下查询:eval("os.system('clear')", {})
使用ast.literal_eval对Python对象安全地计算字符串。在
^{pr2}$
如果您可以信任输入,请使用eval。在>>> string = '{}'
>>> b = eval(string)
>>> b
{}
>>> type(b)
评估和执行的危险
解释为什么eval是危险的,为什么ast.literal_评估是安全的,您必须理解eval是如何工作的:它只接受一个字符串,然后将输入解释为Python代码,基本上允许发生任何事情。在
有很多方法可以使eval和{}安全,但是,都有各种各样的方法来绕过它们。你可以阻止几乎所有的事情,包括导入、内置等等,而且有人仍然可以找到绕过它的方法(参见上面的链接)。在
ast.literal_eval通过只允许计算有效的Python数据类型,如dict、list、tuple、None、int、string和float来解决这个问题。这可以防止恶意执行任何代码,但应用程序的限制要大得多。然而,对于来自未知源的代码,这种额外的安全性是值得的。在
关于ast.literal_eval如何保证您的安全的一个很好的例子是下面的片段:>>> import ast
>>> eval('__import__("os")')
>>> ast.literal_eval('__import__("os")')
Traceback (most recent call last):
File "", line 1, in
File "/usr/lib/python3.4/ast.py", line 84, in literal_eval
return _convert(node_or_string)
File "/usr/lib/python3.4/ast.py", line 83, in _convert
raise ValueError('malformed node or string: ' + repr(node))
ValueError: malformed node or string: <_ast.Call object at 0x7f68e03db2e8>
Eval允许直接执行代码,在这种情况下,允许访问操作系统模块,从而可以擦除驱动器的系统任务,而ast.literal_评估引发错误,因为它不是可识别的数据类型。在