在 Python 中，eval() 是一个强大但危险的函数，用于执行字符串形式的 Python 表达式。以下是深度解析：

一、基础用法

result = eval(expression, globals=None, locals=None)

• 参数：
• expression：字符串形式的 Python 表达式
• globals/locals：可选命名空间字典
• 返回值：表达式执行结果

示例：

x = 10
print(eval("x + 5"))  # 输出 15
print(eval("'hello'.upper()"))  # 输出 'HELLO'

二、关键特性

1.动态计算数学表达式

import math
print(eval("math.sqrt(16)"))  # 输出 4.0

2.变量访问控制

通过命名空间限制可访问对象：

eval("x + y", {"x": 1, "y": 2})  # 输出 3
eval("os.system('ls')", {"__builtins__": None})  # 报错：os未定义

3.与exec()的区别

三、安全风险与防护

1.高危操作示例

# 删除文件（绝对不要在生产环境使用！）
eval("__import__('os').system('rm -rf /')")

# 窃取敏感信息
eval("open('/etc/passwd').read()")

2.防护方案

• 方案1：限制命名空间

safe_dict = {"__builtins__": None}  # 禁用内置函数
eval("1+1", safe_dict)  # 安全
eval("open('file')", safe_dict)  # 报错

方案2：使用ast.literal_eval()（推荐）

from ast import literal_eval
literal_eval("[1, 2, 3]")  # 安全返回列表
literal_eval("__import__('os')")  # 报错：仅支持字面量

方案3：白名单过滤

def safe_eval(code):
    allowed_chars = set("0123456789+-*/(). ")
    if not all(c in allowed_chars for c in code):
        raise ValueError("非法字符")
    return eval(code)

四、实用场景

1.配置文件动态解析

config = """
{
    "timeout": 30,
    "retry": True,
    "plugins": ["pandas", "numpy"]
}
"""
settings = eval(config)  # 转换为字典

2.数学公式计算器

def calculate(formula):
    try:
        return eval(formula, {"math": math})
    except Exception as e:
        return f"错误: {e}"

calculate("math.sin(math.pi/2)")  # 输出 1.0

3.动态条件过滤

users = [{"name": "Alice", "age": 25}, {"name": "Bob", "age": 18}]
condition = "user['age'] >= 20"
filtered = [user for user in users if eval(condition, {"user": user})]
# 输出: [{'name': 'Alice', 'age': 25}]

五、性能对比

结论：非必要场景避免使用eval()，优先考虑替代方案。

最佳实践原则

1. 绝不执行用户输入：即使内部人员输入也需严格过滤
2. 最小权限原则：始终传递限制后的命名空间
3. 替代方案优先：
4. 简单数据结构 → json.loads()/ast.literal_eval()
5. 复杂逻辑 → 使用解析器（如pyparsing）

eval() 就像编程中的链锯——在专业场合高效强大，但稍有不慎就会造成严重伤害。