在 Python 中，**`eval()` 是一个内置函数（function），而不是“方法（method）”**。这是一个非常关键的概念性澄清： ✅ 正确说法： > `eval()` 是 Python 的**内置函数**，属于 `builtins` 模块（Python 3 中自动导入），**不是任何类的实例方法或类方法**，因此不存在 `obj.eval()` 这样的调用形式（除非你自定义了名为 `eval` 的方法，但那与内置 `eval` 无关）。 ❌ 常见误解： - ❌ “字符串对象的 `eval` 方法” → 字符串（`str`）**没有 `.eval()` 方法**。 - ❌ “列表/字典的 `eval` 方法” → 同样不存在。 - ❌ `x.eval()`（其中 `x` 是任意内置类型）→ **AttributeError: 'xxx' object has no attribute 'eval'`**。 🔍 验证方式（交互式解释器中）： ```python >>> "1+2".eval() # ❌ 错误！str 没有 eval 方法 AttributeError: 'str' object has no attribute 'eval' >>> [].eval() # ❌ 同样错误 AttributeError: 'list' object has no attribute 'eval' >>> eval("1+2") # ✅ 正确：直接调用内置函数 3 ``` 📌 为什么容易误称为“eval 方法”？ - 初学者可能受其他语言影响（如 JavaScript 中 `eval()` 是全局函数，但常被类比为“方法”）； - 或混淆了 `eval()` 与真正存在的**对象方法**（如 `json.loads()`、`ast.literal_eval()` —— 注意：`ast.literal_eval` 是函数，但属于 `ast` 模块，也不是“方法”）； - 更常见的是把 `eval()` 当作“对字符串做某种处理的手段”，主观上类比成“字符串的方法”，但这是不准确的。 ✅ 正确定义与语法： ```python eval(expression, globals=None, locals=None) ``` - `expression`: 一个**字符串**，必须是合法的 Python **表达式**（如 `"2 + 3"`, `"[x*2 for x in range(3)]"`, `"{'a': 1}.keys()"`）； - `globals`: 可选字典，指定表达式执行时的全局作用域（默认为 `globals()`）； - `locals`: 可选字典，指定局部作用域（默认为 `locals()`）； - 返回值：表达式求值后的 Python 对象（如 `int`, `list`, `dict`, `bool` 等）。 🔧 典型正确用法（再次强调：是函数调用，非方法调用）： ```python # ✅ 标准调用 result = eval("3 * 7") print(result) # 21 # ✅ 控制作用域（安全实践） safe_globals = {"__builtins__": {}} result = eval("2 ** 10", safe_globals) # 1024 # ✅ 结合 locals 传入变量 x, y = 5, 10 result = eval("x * y + 1", {}, {"x": x, "y": y}) # 51 ``` ⚠️ 再次强调安全红线： `eval()` **永远不应直接执行不可信输入**（如 Web 表单、文件读取、用户 `input()`）。它等价于“把字符串当作 Python 代码执行”，攻击者可借此执行任意系统命令（如删除文件、窃取数据）。生产环境请严格使用： - ✅ `ast.literal_eval()`：仅解析字面量（`[1, "a", {"k": True}]`）→ **推荐首选**； - ✅ `json.loads()`：仅解析 JSON 格式（更严格，无变量/函数）； - ✅ 白名单沙箱（如前例限制 `globals`）→ 仅限可控数学表达式场景。 💡 小技巧：如何查看 `eval` 的真实身份？ ```python >>> eval <built-in function eval> >>> type(eval) <class 'builtin_function_or_method'> >>> import builtins >>> builtins.eval is eval True ``` 这证实它是 `builtins` 模块中的内置函数，与 `print`, `len`, `abs` 同类。