1. eval() 函数概述
eval() 是 Python 内置的一个强大但需要谨慎使用的高阶函数，它能够将字符串作为 Python 表达式进行解析并执行。
基本语法
python
eval(expression, globals=None, locals=None)expression：字符串形式的 Python 表达式globals：可选参数，全局命名空间（字典形式）locals：可选参数，局部命名空间（字典形式）
2. eval() 的基本使用
2.1 简单表达式计算
python
x = 10
result = eval('x * 2 + 5') # 输出: 252.2 数学运算
python
import math
print(eval('math.sqrt(16)')) # 输出: 4.02.3 列表和字典操作
python
my_list = eval('[1, 2, 3, 4]') # 创建列表
my_dict = eval('{"name": "Alice", "age": 25}') # 创建字典3. eval() 的安全性问题
eval() 的强大功能也带来了潜在的安全风险，因为它可以执行任意 Python 代码。
3.1 安全风险示例
python
# 危险示例 - 永远不要这样做！
user_input = input("请输入表达式: ")
eval(user_input) # 用户可以输入恶意代码如: __import__('os').system('rm -rf /')3.2 安全使用建议
- 永远不要直接执行用户输入：这是最重要的原则
- 限制命名空间：通过 globals 和 locals 参数限制可访问的对象
- 使用 ast.literal_eval()：对于简单数据结构，这是更安全的替代方案
python
from ast import literal_eval
# 安全地解析简单数据结构
safe_list = literal_eval('[1, 2, 3]') # 可行
# literal_eval('__import__("os").system("ls")') # 会引发异常4. eval() 的高级用法
4.1 限制执行环境
python
# 创建安全的执行环境
safe_globals = {'__builtins__': None} # 禁用内置函数
safe_locals = {'x': 5, 'y': 10}
result = eval('x + y', safe_globals, safe_locals) # 输出: 15
# eval('open("file.txt")', safe_globals, safe_locals) # 会引发异常4.2 动态函数创建
python
def create_function(expression):
return lambda x: eval(expression, {'x': x})
square = create_function('x ** 2')
print(square(5)) # 输出: 254.3 配置解析
python
config_str = "{'debug': True, 'log_level': 'INFO', 'retries': 3}"
config = eval(config_str) # 将字符串转换为字典5. eval() 的性能考量
eval() 的执行比直接执行 Python 代码要慢，因为它需要：
- 解析字符串
- 编译为字节码
- 执行字节码
在性能敏感的场景中应避免频繁使用 eval()。
6. 替代方案
6.1 ast.literal_eval()
python
from ast import literal_eval
# 只能评估包含Python字面量的表达式
safe = literal_eval('{"key": "value", "nums": [1, 2, 3]}') # 安全6.2 使用字典映射
python
operations = {
'add': lambda x, y: x + y,
'subtract': lambda x, y: x - y
}
op = 'add'
result = operations[op](5, 3) # 输出: 87. 最佳实践总结
- 避免使用 eval() 解析用户输入：这是最重要的安全原则
- 限制命名空间：总是明确指定 globals 和 locals 参数
- 考虑替代方案：优先使用 ast.literal_eval() 或其他安全方法
- 性能考量：在循环或频繁调用的代码中避免使用 eval()
- 代码可读性：过度使用 eval() 会降低代码可读性和可维护性
8. 实际应用案例
8.1 简单计算器
python
def safe_calculator(expression):
allowed_chars = set('0123456789+-*/(). ')
if not set(expression).issubset(allowed_chars):
raise ValueError("非法字符")
try:
return eval(expression)
except:
raise ValueError("无效表达式")
print(safe_calculator("3 + 5 * 2")) # 输出: 138.2 动态条件过滤
python
data = [{'name': 'Alice', 'age': 25}, {'name': 'Bob', 'age': 30}]
def filter_data(data, condition):
return [item for item in data if eval(condition, {}, item)]
# 使用示例
result = filter_data(data, 'age > 25 and name.startswith("B")')
print(result) # 输出: [{'name': 'Bob', 'age': 30}]9. 总结
eval() 是 Python 中一个强大但危险的工具。虽然它提供了动态执行代码的能力，但也带来了严重的安全隐患。在大多数情况下，应该寻找更安全的替代方案。如果必须使用 eval()，务必遵循最小权限原则，严格限制可访问的命名空间和可执行的代码。
记住：能力越大，责任越大 。谨慎使用 eval()，确保你的代码既强大又安全。