淺談Python中eval的強(qiáng)大與危害
eval是Python的一個(gè)內(nèi)置函數(shù)，這個(gè)函數(shù)的作用是，返回傳入字符串的表達(dá)式的結(jié)果。想象一下變量賦值時(shí)，將等號(hào)右邊的表達(dá)式寫(xiě)成字符串的格式，將這個(gè)字符串作為eval的參數(shù)，eval的返回值就是這個(gè)表達(dá)式的結(jié)果。
python中eval函數(shù)的用法十分的靈活，但也十分危險(xiǎn)，安全性是其最大的缺點(diǎn)。本文從靈活性和危險(xiǎn)性?xún)煞矫娼榻Beval。
1、強(qiáng)大之處
舉幾個(gè)例子感受一下，字符串與list、tuple、dict的轉(zhuǎn)化。
a = "[[1,2], [3,4], [5,6], [7,8], [9,0]]"
b = eval(a)
b
Out[3]: [[1, 2], [3, 4], [5, 6], [7, 8], [9, 0]]
type(b)
Out[4]: list
a = "{1: 'a', 2: 'b'}"
b = eval(a)
b
Out[7]: {1: 'a', 2: 'b'}
type(b)
Out[8]: dict
a = "([1,2], [3,4], [5,6], [7,8], (9,0))"
b = eval(a)
b
Out[11]: ([1, 2], [3, 4], [5, 6], [7, 8], (9, 0))
強(qiáng)大吧，給個(gè)字符串給eval，eval給你一個(gè)表達(dá)式返回值。
eval的語(yǔ)法格式如下：
eval(expression[, globals[, locals]])
expression ： 字符串
globals ： 變量作用域，全局命名空間，如果被提供，則必須是一個(gè)字典對(duì)象。
locals ： 變量作用域，局部命名空間，如果被提供，可以是任何映射對(duì)象。
結(jié)合globals和locals看看幾個(gè)例子
傳遞globals參數(shù)值為{“age”:1822}，
eval("{'name':'linux','age':age}",{"age":1822})
輸出結(jié)果：{‘name': ‘linux', ‘a(chǎn)ge': 1822}
再加上locals變量
age=18
eval("{'name':'linux','age':age}",{"age":1822},locals())
根據(jù)上面兩個(gè)例子可以看到當(dāng)locals參數(shù)為空，globals參數(shù)不為空時(shí)，查找globals參數(shù)中是否存在變量，并計(jì)算。
當(dāng)兩個(gè)參數(shù)都不為空時(shí)，先查找locals參數(shù)，再查找globals參數(shù)，locals參數(shù)中同名變量會(huì)覆蓋globals中的變量。
2、危險(xiǎn)之處
eval雖然方便，但是要注意安全性，可以將字符串轉(zhuǎn)成表達(dá)式并執(zhí)行，就可以利用執(zhí)行系統(tǒng)命令，刪除文件等操作。
假設(shè)用戶(hù)惡意輸入。比如：
eval("__import__('os').system('ls /Users/chunming.liu/Downloads/')")
那么eval()之后，你會(huì)發(fā)現(xiàn)，當(dāng)前文件夾文件都會(huì)展如今用戶(hù)前面。這句其實(shí)相當(dāng)于執(zhí)行了
os.system('ls /Users/chunming.liu/Downloads/')
那么繼續(xù)輸入：
eval("__import__('os').system('cat /Users/chunming.liu/Downloads/tls_asimov_cert.pem')")
代碼都給人看了。
再來(lái)一條刪除命令，文件消失。比如
eval("__import__('os').system('rm /Users/chunming.liu/Downloads/車(chē)輛轉(zhuǎn)發(fā)測(cè)試.png')")
所以使用eval，一方面享受他的了靈活性同時(shí)，也要注意安全性。
以上所述是小編給大家介紹的Python中eval的強(qiáng)大與危害詳解整合，希望對(duì)大家有所幫助，如果大家有任何疑問(wèn)請(qǐng)給我留言，小編會(huì)及時(shí)回復(fù)大家的。在此也非常感謝大家對(duì)腳本之家網(wǎng)站的支持！
相關(guān)文章
這篇文章主要介紹了基于python的MD5腳本,通過(guò) string模塊自動(dòng)生成字典，使用permutations()函數(shù)，對(duì)字典進(jìn)行全排列，本文通過(guò)實(shí)例代碼給大家介紹的非常詳細(xì)，需要的朋友可以參考下2022-03-03
Python實(shí)現(xiàn)樹(shù)莓派WiFi斷線(xiàn)自動(dòng)重連的實(shí)例代碼
實(shí)現(xiàn) WiFi 斷線(xiàn)自動(dòng)重連，原理是用 Python 監(jiān)測(cè)網(wǎng)絡(luò)是否斷線(xiàn)，如果斷線(xiàn)則重啟網(wǎng)絡(luò)服務(wù)。接下來(lái)給大家分享實(shí)現(xiàn)代碼，需要的朋友參考下2017-03-03
利用Python命令行傳遞實(shí)例化對(duì)象的方法
最近在工作中遇到了一個(gè)問(wèn)題，需要接收啟動(dòng)腳本傳遞過(guò)來(lái)的實(shí)例化后的對(duì)象,通過(guò)在網(wǎng)上查找資料發(fā)現(xiàn)了兩個(gè)方法，文中通過(guò)實(shí)例代碼就給大家詳細(xì)介紹了這兩種方法，有需要的朋友們可以參考借鑒，下面來(lái)一起看看吧。2016-11-11
60行Python PyGame代碼實(shí)現(xiàn)簡(jiǎn)單的迷宮游戲
這篇文章主要為大家詳細(xì)介紹如何通過(guò)了60行Python PyGame代碼實(shí)現(xiàn)一個(gè)簡(jiǎn)單的迷宮游戲,文中的示例代碼講解詳細(xì),感興趣的小伙伴可以了解下2023-12-12
pycharm重置設(shè)置,恢復(fù)默認(rèn)設(shè)置的方法
今天小編就為大家分享一篇pycharm重置設(shè)置,恢復(fù)默認(rèn)設(shè)置的方法，具有很好的參考價(jià)值，希望對(duì)大家有所幫助。一起跟隨小編過(guò)來(lái)看看吧2018-10-10
map與reduce是兩個(gè)十分常用的Python內(nèi)置函數(shù)，它們與Hadoop中的MapReduce在某些方面有一定的相似之處。2018-02-02
python繪制規(guī)則網(wǎng)絡(luò)圖形實(shí)例
今天小編大家分享一篇python繪制規(guī)則網(wǎng)絡(luò)圖形實(shí)例，具有很好的參考價(jià)值，希望對(duì)大家有所幫助。一起跟隨小編過(guò)來(lái)看看吧2019-12-12
python實(shí)現(xiàn)telnet客戶(hù)端的方法
這篇文章主要介紹了python實(shí)現(xiàn)telnet客戶(hù)端的方法,分析了Python中telnetlib模塊實(shí)現(xiàn)telnet操作的方法,并實(shí)例敘述了Telnet客戶(hù)端的實(shí)現(xiàn)技巧,需要的朋友可以參考下2015-04-04
python利用pandas和csv包向一個(gè)csv文件寫(xiě)入或追加數(shù)據(jù)
這篇文章主要給大家介紹了關(guān)于python利用pandas和csv包向一個(gè)csv文件寫(xiě)入或追加數(shù)據(jù)的相關(guān)資料,我們?cè)絹?lái)越多的使用pandas進(jìn)行數(shù)據(jù)處理,有時(shí)需要向一個(gè)已經(jīng)存在的csv文件寫(xiě)入數(shù)據(jù),需要的朋友可以參考下2023-07-07
selenium設(shè)置proxy、headers的方法(phantomjs、Chrome、Firefox)
這篇文章主要介紹了selenium設(shè)置proxy、headers的方法(phantomjs、Chrome、Firefox)，小編覺(jué)得挺不錯(cuò)的，現(xiàn)在分享給大家，也給大家做個(gè)參考。一起跟隨小編過(guò)來(lái)看看吧2018-11-11