前言：为什么 eval 如此重要又如此危险？
在 Python 的世界里，eval 函数就像一把双刃剑——它强大到可以让你动态执行代码，灵活处理各种复杂场景；同时也危险到可能让你的系统门户大开，遭受注入攻击。许多 Python 开发者对 eval 既爱又怕，但真正理解并善用它的人却不多。
本文将带你从基础用法出发，逐步深入 eval 的底层机制，最终掌握安全高效使用 eval 的专业技巧。无论你是刚接触 Python 的新手，还是有一定经验的中级开发者，这篇文章都将为你打开 eval 函数的新世界！
1. eval 基础：理解它的工作原理
eval 是 Python 内置的一个强大函数，它能够将字符串作为 Python 表达式进行解析和执行。与普通函数不同，eval 具有动态执行代码的能力，这使得它在某些场景下成为不可替代的工具。
eval 的基本语法非常简单，它接收一个字符串参数和两个可选参数：
eval(expression[, globals[, locals]])
参数说明：
1、expression（必需）：
- 一个字符串，包含有效的 Python 表达式（如 "3 + 5"、"x * y"）
- 不能是语句（如 "x = 10" 会报错，但 "x" 可以）
2、globals（可选）：
- 一个字典，表示全局命名空间（变量作用域）
- 如果未提供，默认使用当前全局变量（globals()）
- 如果提供，则 expression 只能访问 globals 字典中的变量
3、locals（可选）：
- 一个字典，表示局部命名空间（变量作用域）
- 如果未提供，默认使用 globals 的值（即 locals=globals）
- 如果提供，则 expression 可以访问 locals 中的变量
1.1 基本用法（无 globals 和 locals）
让我们从一个最简单的例子开始，了解 eval 的基本用法。下面的代码展示了如何用 eval 执行简单的数学运算：
x = 10
result = eval("x + 5")
print(result) # 15
1.2 使用 globals 限制变量访问
如下所示为使用 globals 的例子，eval 只能访问 globals 中的变量，不会使用外部的 x=10
x = 10
globals_dict = {"x": 20}
result = eval("x + 5", globals_dict)
print(result) # 25（使用 globals_dict 中的 x=20）
1.3 使用 globals 和 locals
如下所示为使用 globals 和 locals 的例子，eval 则只能访问 locals 中的变量
globals_dict = {"x": 10}
locals_dict = {"x": 20, "y": 5}
result = eval("x + y", globals_dict, locals_dict) # 25（x=20 来自 locals_dict，y=5 来自 locals_dict）
print(result) # 25
1.4 eval 处理列表和字典
eval 不仅能处理数学表达式，还能处理各种 Python 数据类型和操作。下面的例子展示了如何使用 eval 处理列表和字典：
list_str = "[1, 2, 3, 4, 5]"
dict_str = "{'name': 'Alice', 'age': 25}"
parsed_list = eval(list_str)
parsed_dict = eval(dict_str)
print(parsed_list[2]) # 输出: 3
print(parsed_dict['name']) # 输出: Alice
2. eval 与 exec 的区别：何时使用哪个？
很多初学者容易混淆 eval 和 exec 这两个函数，它们确实相似但有着关键区别。eval 用于计算单个表达式的值并返回结果，而 exec 用于执行语句块且不返回任何值。
下面的例子清晰地展示了它们的区别。eval 只能处理表达式，而 exec 可以处理语句：
# eval 处理表达式
x = eval("5 + 3")
print(x) # 输出: 8
# exec 处理语句
exec("y = 5 + 3")
print(y) # 输出: 8
在实际开发中，选择 eval 还是 exec 取决于你的需求。如果你需要获取计算结果，使用 eval；如果你只需要执行代码而不关心返回值，使用 exec。下面的例子展示了更复杂的使用场景：
# eval 用于计算数学公式
formula = "x**2 + 2*x + 1"
x = 3
result = eval(formula)
print(result) # 输出: 16
# exec 用于定义函数
function_code = """
def greet(name):
return f"Hello, {name}!"
"""
exec(function_code)
print(greet("World")) # 输出: Hello, World!
3. eval 的安全隐患：你必须知道的危险
虽然 eval 功能强大，但它也带来了严重的安全风险。eval 可以执行任意 Python 代码，这意味着如果它处理的是用户输入的字符串，就可能被恶意利用来执行危险操作。
下面的例子展示了一个简单的安全漏洞。恶意用户可以通过输入来删除文件：
user_input = "__import__('os').system('rm -rf /')" # 危险操作！
# 永远不要直接 eval 用户输入
# eval(user_input) # 这将删除你的文件系统！
eval 的安全问题不仅限于系统命令，还可能泄露敏感信息。下面的例子展示了如何通过 eval 获取环境变量：
malicious_code = "__import__('os').environ"
# eval(malicious_code) # 这将返回包含所有环境变量的字典
为了防范这些风险，我们必须严格控制 eval 的执行环境。Python 提供了 globals 和 locals 参数来限制可访问的命名空间，这点我们在前面有进行详细介绍！
safe_dict = {'x': 5, 'y': 10}
result = eval("x + y", safe_dict)
print(result) # 输出: 15
# 尝试访问不安全的名称会失败
eval("__import__('os')", safe_dict) # 抛出 NameError
4. 安全使用 eval 的专业技巧
既然 eval 如此危险，我们该如何安全地使用它呢？专业开发者会采用多种策略来降低风险，同时保留 eval 的灵活性。
第一种方法是使用 ast.literal_eval 替代 eval。literal_eval 只能解析 字面量表达式（如字符串、数字、列表、字典等），不会执行任意代码，因此更安全。
import ast
# 安全解析字面量
data = '{"name": "Alice", "age": 25}' # JSON 字符串
parsed_data = ast.literal_eval(data) # 转换为字典
print(parsed_data) # 输出: {'name': 'Alice', 'age': 25}
# 危险操作会被拒绝
dangerous_code = "__import__('os').system('rm -rf /')"
try:
ast.literal_eval(dangerous_code) # 报错：不是有效的字面量
except ValueError as e:
print("安全拦截:", e)
第二种方法是创建受限的执行环境。我们可以通过自定义 globals 字典来严格控制可用的函数和变量：
# 定义安全的全局变量环境
restricted_globals = {
"__builtins__": None, # 禁用所有内置函数（如 print, open, __import__ 等）
"a": 5, # 允许使用的变量 a
"b": 3 # 允许使用的变量 b
}
# 安全的表达式（仅允许使用 a 和 b）
safe_code = "a + b"
# 执行 eval
result = eval(safe_code, restricted_globals)
print(result) # 输出: 8
对于更复杂的需求，我们可以实现一个表达式验证器。下面的代码展示了如何检查表达式是否只包含安全的操作：
import ast
def safe_eval(expr):
try:
tree = ast.parse(expr, mode='eval')
for node in ast.walk(tree):
if isinstance(node, (ast.Call, ast.Attribute)):
raise ValueError("函数调用和属性访问被禁用")
return eval(expr, {'__builtins__': None}, {})
except (SyntaxError, ValueError) as e:
print(f"不安全表达式: {e}")
return None
result = safe_eval("3 + 5 * 2") # 安全
print(result) # 输出: 13
safe_eval("open('file.txt')") # 输出: 不安全表达式: 函数调用和属性访问被禁用
5. eval 的常见应用场景
尽管有安全风险，eval 在某些专业场景下仍然不可替代。当我们需要动态执行代码或实现领域特定语言(DSL) 时，eval 展现出其独特价值。
一个典型的应用是数学公式计算器。eval 可以轻松处理用户输入的数学表达式：
def calculate(expression, variables=None):
variables = variables or {}
try:
return eval(expression, {'__builtins__': None}, variables)
except Exception as e:
return f"计算错误: {e}"
print(calculate("a + b", {'a': 5, 'b': 3})) # 输出: 8
print(calculate("sqrt(a**2 + b**2)", {'a': 3, 'b': 4, 'sqrt': __import__('math').sqrt})) # 输出: 5.0
另一个高级应用是动态配置处理。我们可以使用 eval 来解析和转换配置文件中的复杂值：
config_text = """
{
'timeout': 30,
'retries': 3,
'conditions': "value > 0.5 and status == 'active'"
}
"""
config = eval(config_text)
data = {'value': 0.6, 'status': 'active'}
meets_condition = eval(config['conditions'], {}, data)
print(meets_condition) # 输出: True
在模板引擎和规则引擎的实现中，eval 也扮演着重要角色。下面的简化示例展示了如何用 eval 实现基本的规则匹配：
rules = [
"age >= 18 and country == 'US'",
"score > 80 and subscription == 'premium'",
"len(name) > 3 and status != 'banned'"
]
def check_rules(user_data, rules):
results = []
for rule in rules:
try:
results.append(eval(rule, {}, user_data))
except:
results.append(False)
return results
user = {'age': 20, 'country': 'US', 'score': 85,
'subscription': 'basic', 'name': 'Alice', 'status': 'active'}
print(check_rules(user, rules)) # 输出: [True, False, True]
总结：掌握 eval 的艺术
eval 函数就像 Python 生态系统中的一把瑞士军刀——功能多样但需要谨慎使用。通过本文的探索，我们了解了从基础用法到高级技巧的全方位知识，也认识了它潜在的危险性。记住这些关键点：
- 能力与责任：eval 赋予你动态执行代码的能力，但也要求你承担确保安全的责任
- 安全第一：永远不要直接 eval 不可信的输入，始终使用受限的执行环境
- 替代方案：在许多场景下，ast.literal_eval 或专用解析器是更安全的选择
- 性能意识：在性能敏感的场景，考虑预编译或专用评估引擎
当你真正理解并掌握了 eval 的正确使用方式，它将成为你解决复杂问题的强大工具，而不是系统安全的定时炸弹。希望这篇文章能帮助你在 Python 开发之路上更加自信地使用这个强大而危险的功能！
如果你喜欢本文，欢迎点赞，并且关注我们的微信公众号：Python技术极客，我们会持续更新分享 Python 开发编程、数据分析、数据挖掘、AI 人工智能、网络爬虫等技术文章！让大家在Python 技术领域持续精进提升，成为更好的自己！
添加作者微信（coder_0101），拉你进入行业技术交流群，进行技术交流~
