Python eval()函数使用教程

一、eval函数概述

eval()是Python的一个内置函数，用于执行一个字符串表达式并返回表达式的值。它可以将字符串作为有效的Python表达式进行解析并执行。

二、eval函数语法

eval(expression, globals=None, locals=None)

三、参数说明

四、基本用法示例

1. 数学表达式计算

# 基本数学运算
result = eval("2 + 3 * 4")
print(result)  # 输出: 14

# 使用数学函数
import math
result = eval("math.sqrt(16)")
print(result)  # 输出: 4.0

2. 列表操作

# 创建列表
my_list = eval("[1, 2, 3, 4, 5]")
print(my_list)  # 输出: [1, 2, 3, 4, 5]

# 列表操作
result = eval("sum([x**2 for x in my_list])")
print(result)  # 输出: 55

3. 使用globals和locals参数

# 定义命名空间
global_dict = {'x': 10, 'y': 5}
local_dict = {'z': 2}

# 使用命名空间中的变量
result = eval("x * y + z", global_dict, local_dict)
print(result)  # 输出: 52

五、eval的安全风险与防范

1. 危险示例

# 危险：删除文件（切勿尝试！）
# user_input = "__import__('os').system('rm -rf /')"
# eval(user_input)  # 这将尝试删除系统文件！

# 危险：暴露敏感信息
# user_input = "__import__('os').listdir('/')"
# print(eval(user_input))  # 列出根目录内容

2. 安全使用建议

• 避免使用eval处理任何用户输入
• 如必须使用，严格限制可访问的命名空间：

  safe_dict = {'__builtins__': None}

• 使用ast.literal_eval替代，它只能处理基本数据类型
• 在沙盒环境中执行
• 对输入进行严格的白名单验证

六、eval的适用场景

• 执行动态生成的数学表达式
• 解析配置文件中的简单表达式
• 在安全环境下执行可信代码
• 快速原型开发（生产环境慎用）
• 实现简单的计算器功能

七、替代方案：ast.literal_eval

对于只需要处理基本数据类型的场景，推荐使用ast.literal_eval，它更安全：

import ast

# 安全解析基本数据类型
result = ast.literal_eval("[1, 2, 3]")
print(result)  # 输出: [1, 2, 3]

# 尝试执行函数会失败（安全）
try:
    ast.literal_eval("print('hello')")
except ValueError as e:
    print(f"安全错误: {e}")

八、总结