Python eval函数用法及注意事项 - 详细教程

什么是eval函数？

Python内置的eval()函数用于执行一个字符串表达式，并返回表达式的值。它可以将字符串当作有效的Python表达式来求值并返回计算结果。

基本语法：eval(expression, globals=None, locals=None)

expression：字符串，要执行的Python表达式
globals：可选，全局命名空间（字典形式）
locals：可选，局部命名空间（字典形式）

eval基本用法示例

1. 数学计算

# 基本数学运算
result = eval("2 + 3 * 4")
print(result)  # 输出: 14

# 使用数学函数
import math
result = eval("math.sqrt(25)", {"math": math})
print(result)  # 输出: 5.0

2. 数据类型转换

# 字符串转列表
list_data = eval("[1, 2, 3, 4]")
print(type(list_data), list_data)  # 输出: <class 'list'> [1, 2, 3, 4]

# 字符串转字典
dict_data = eval("{'name': 'Alice', 'age': 30}")
print(type(dict_data), dict_data)  # 输出: <class 'dict'> {'name': 'Alice', 'age': 30}

3. 变量操作

x = 10
y = 5

# 使用现有变量进行计算
result = eval("x * y + 3", {"x": x, "y": y})
print(result)  # 输出: 53

eval函数的安全注意事项

1. 安全风险：任意代码执行

eval可以执行任何有效的Python代码，这带来了严重的安全隐患。永远不要使用eval执行不受信任的输入！

# 危险示例：执行系统命令
user_input = "__import__('os').system('rm -rf /')"
eval(user_input)  # 这将尝试删除系统文件！

2. 安全使用建议

避免使用eval解析用户输入
使用ast.literal_eval替代（仅处理字面量）
限制全局和局部命名空间
使用自定义安全函数替代eval

# 安全替代方案：literal_eval
from ast import literal_eval

# 只能处理基本数据类型
safe_data = literal_eval("[1, 2, 3]")  # 有效
# literal_eval("__import__('os').system('dir')")  # 会引发异常

3. 限制命名空间示例

# 创建安全的执行环境
safe_globals = {"__builtins__": None}  # 禁用内置函数
safe_locals = {"x": 5, "y": 10}

# 尝试访问受限环境
try:
    eval("print(x + y)", safe_globals, safe_locals)
except Exception as e:
    print(f"错误: {e}")  # 因为禁用了print，会报错
    
# 只允许数学运算
math_globals = {"__builtins__": None, "math": math}
result = eval("math.sqrt(x)", math_globals, {"x": 25})
print(result)  # 输出: 5.0

eval函数的最佳实践

优先使用替代方案：对于简单数据结构，使用json.loads或ast.literal_eval
严格限制输入：如果必须使用eval，先对输入进行严格验证
限制命名空间：始终提供受控的globals和locals环境
禁用内置函数：设置{"__builtins__": {}}或{"__builtins__": None}
使用自定义函数：为特定用途创建专用解析函数

# 安全使用eval的示例
def safe_eval_math(expression, variables=None):
    """安全计算数学表达式"""
    if variables is None:
        variables = {}
    
    # 限制可用的函数和变量
    allowed_globals = {
        "__builtins__": None,
        "math": math,
        "sin": math.sin,
        "cos": math.cos,
        "sqrt": math.sqrt
    }
    # 合并用户提供的变量
    allowed_globals.update(variables)
    
    try:
        return eval(expression, allowed_globals, {})
    except Exception as e:
        raise ValueError(f"计算错误: {str(e)}")

# 安全使用示例
result = safe_eval_math("sqrt(x**2 + y**2)", {"x": 3, "y": 4})
print(result)  # 输出: 5.0