`eval()` 是 Python 内置函数，用于**动态执行一个字符串形式的 Python 表达式（expression）**，并返回其计算结果。它本质上是将字符串“当作代码来求值”。 ✅ 正确用法示例： ```python x = 10 result = eval("x + 5") # → 15 print(result) print(eval("[1, 2, 3]")) # → [1, 2, 3]（解析为列表） print(eval("{'a': 1}")) # → {'a': 1} print(eval("2 ** 4")) # → 16 print(eval("True and False")) # → False ``` ⚠️ 重要限制与注意事项： 1. **仅支持表达式（expressions），不支持语句（statements）** ❌ 错误（语法错误）： ```python eval("x = 5") # SyntaxError: invalid syntax（赋值是语句） eval("print('hello')") # SyntaxError（print() 是语句，除非在 Python 3.12+ 中 print 是函数调用，但仍是 statement！） eval("if x > 0: pass") # SyntaxError ``` ✅ 若需执行语句，请用 `exec()`（但更危险，见下文对比）。 2. **严重安全风险：绝对不可用于不受信任的输入！** `eval()` 会在当前作用域中执行任意代码，可能造成： - 读取/删除文件（如 `eval("__import__('os').system('rm -rf /')")`） - 窃取环境变量、全局变量 - 耗尽内存或 CPU（如 `eval("1" * 10**6 + " + " + "1" * 10**6)` 或递归爆炸） 🔒 安全替代方案（推荐）： - 解析 JSON：用 `json.loads()`（只允许 JSON 格式，无代码执行） - 解析数字/简单结构：用 `ast.literal_eval()`（**最常用、最安全的替代品**） ```python import ast # ✅ 安全：只允许字面量（str, int, float, bool, None, list, tuple, dict, set） ast.literal_eval("[1, 2, {'key': 'value'}]") # OK ast.literal_eval("__import__('os')") # ValueError: malformed node or string ``` 3. **作用域控制（可选参数）** `eval(expression, globals=None, locals=None)` 可通过传入受限的 `globals`/`locals` 控制可用名称： ```python safe_dict = {"__builtins__": {}} # 屏蔽所有内置函数 # 或更精细地只允许 math.sqrt： import math safe_dict = {"__builtins__": {}, "sqrt": math.sqrt} result = eval("sqrt(16)", safe_dict) # → 4.0 # eval("open('file.txt')", safe_dict) → NameError: name 'open' is not defined ``` 4. **与 `exec()` 的关键区别**： | 特性 | `eval()` | `exec()` | |--------------|--------------------------------|------------------------------------| | 输入类型 | 必须是**表达式**（有返回值） | 可以是**语句块**（无返回值） | | 返回值 | 返回表达式结果 | 总是返回 `None` | | 典型用途 | 动态计算、配置解析（谨慎！） | 动态定义函数/类、执行脚本片段（极危险） | 🔧 实用安全示例（带白名单的数学表达式计算器）： ```python import math import operator # 白名单函数和常量 ALLOWED_NAMES = { "abs": abs, "round": round, "min": min, "max": max, "sum": sum, "len": len, "pi": math.pi, "e": math.e, "sin": math.sin, "cos": math.cos, "log": math.log, "sqrt": math.sqrt, } def safe_eval(expr: str) -> float: try: # 禁用所有内置函数，只启用白名单 allowed_globals = {"__builtins__": {}} allowed_globals.update(ALLOWED_NAMES) return eval(expr, allowed_globals, {}) except (SyntaxError, NameError, ZeroDivisionError, ValueError, OverflowError) as e: raise ValueError(f"Invalid or unsafe expression: {e}") # 使用示例 print(safe_eval("2 + 3 * 4")) # 14 print(safe_eval("sqrt(144)")) # 12.0 print(safe_eval("sin(pi/2)")) # ≈1.0 # safe_eval("__import__('os')") # → ValueError: Invalid or unsafe expression ``` 📌 总结建议： - ✅ 优先使用 `ast.literal_eval()` 处理用户输入的字面量（JSON-like 数据）。 - ✅ 如需轻量级数学表达式，构建白名单 `eval` 并严格限制 `globals`。 - ❌ 绝对避免 `eval(input())`、`eval(request.data)` 等直接执行不可信字符串。 - ❌ 不要用 `eval()` 替代设计良好的配置系统（如 YAML/JSON + 验证器）。