Python中的eval()函數詳解

eval()是Python的一個內置函數，用于執行字符串形式的Python表達式并返回結果。它是一個強大但需要謹慎使用的函數。

基本語法

eval(expression, globals=None, locals=None)

• expression：字符串形式的Python表達式
• globals（可選）：全局命名空間字典
• locals（可選）：局部命名空間字典

基本用法

# 簡單數學表達式
result = eval("3 + 4 * 2")  # 返回11# 使用變量
x = 10
result = eval("x + 5")  # 返回15# 使用函數
eval("print('Hello, World!')")  # 打印Hello, World!

安全性問題

eval()可以執行任意Python代碼，因此存在嚴重的安全風險：

# 危險示例 - 可能刪除文件！
user_input = "__import__('os').system('rm -rf /')"
eval(user_input)  # 千萬不要這樣做！

安全使用建議

1. 限制命名空間：

   safe_dict = {"__builtins__": None}  # 禁用內置函數
   eval("3 + 4", safe_dict, safe_dict)  # 安全
   

2. 使用ast.literal_eval()替代（只能計算字面量表達式）：

   from ast import literal_eval
   literal_eval("[1, 2, 3]")  # 返回列表[1, 2, 3]
   

3. 白名單過濾：

   allowed_chars = set("0123456789+-*/(). ")
   if not set(user_input).issubset(allowed_chars):raise ValueError("非法字符")
   

實際應用場景

1. 數學表達式計算器：

   def calculate(expression):try:return eval(expression, {"__builtins__": None}, {})except:return "無效表達式"
   

2. 簡單配置解析：

   config_str = "{'timeout': 30, 'retry': 3}"
   config = eval(config_str)  # 轉換為字典
   

3. 動態代碼生成（高級用法）：

   def make_adder(n):return eval(f"lambda x: x + {n}")add5 = make_adder(5)
   print(add5(3))  # 輸出8
   

與exec()的區別

• eval()計算表達式并返回值
• exec()執行語句但不返回值

eval("3 + 4")  # 返回7
exec("3 + 4")  # 不返回任何內容
exec("x = 3 + 4")  # 創建變量x=7

性能考慮

eval()比直接執行代碼慢，因為它需要先編譯字符串：

# 測試性能
import timeit
timeit.timeit('eval("3 + 4")')  # 比直接3+4慢很多

總結

eval()是一個強大的工具，但應該：

1. 避免用于處理不受信任的輸入
2. 盡量使用更安全的替代方案如ast.literal_eval()
3. 使用時嚴格限制可訪問的命名空間
4. 考慮是否有更好的實現方式

在大多數情況下，如果發現自己在考慮使用eval()，應該先思考是否有更安全、更明確的方法來實現相同的功能。🌊🌊🌊🌊🌊🌊