Python执行字符串代码

Python是一种高级解释型语言，代码简洁易读，越来越受到开发者们的青睐。
在Python中，可以通过执行字符串的方式来动态地运行代码。下面我们从多个方面来探讨Python执行字符串代码的技巧和注意事项。

一、eval()函数

在Python中，可以使用eval()函数来执行字符串代码，它的作用是将字符串作为Python代码进行求值并返回执行结果。

string = "print('hello world')"
eval(string)

上述代码会输出“hello world”。eval()函数可以简单地执行代码并返回结果，但需要注意潜在的安全风险。如果字符串代码来自不可信的源，则可能会执行恶意代码。

二、exec()函数

与eval()函数不同的是，exec()函数将字符串作为完整的Python程序来执行。它类似于从文件中读取代码并执行，可以定义变量、函数等，但不会返回任何结果。

string = "a = 1nb = 2nprint(a + b)"
exec(string)

上述代码将输出“3”。当使用exec()函数时，一定要小心代码注入攻击的问题。为了防止此类攻击，可以通过灵活地限制字符串代码的内容来保证安全性。

三、globals()和locals()函数

在执行字符串代码时，可以通过使用globals()和locals()函数来获取当前作用域的全局和局部变量。

string = "a = 1nb = 2ndef add():n    return a + bnprint(add())"
exec(string, globals(), locals())

上述代码将输出“3”，因为add()函数可以访问并使用局部变量a和b。该函数被放入locals()字典中，可以在执行字符串代码的同时传递。

四、限制字符串代码内容

为了保证安全性，应该限制允许执行的字符串代码内容。

4.1 禁止使用危险函数

可以使用code模块中的CodeType类来限制字符串代码的内容。例如，可以过滤掉字符串中的危险函数，如os.system()等。

import code

code_string = "import osnos.system('rm -rf /')"
code_obj = compile(code_string, "", "exec")

for c in code_obj.co_consts:
    if isinstance(c, code.CodeType) and "system" in c.co_names:
        raise Exception("dangerous function: os.system")

exec(code_obj)

上述代码将抛出一个异常，因为禁止在字符串代码中使用os.system()函数。

4.2 使用parser模块

Python的parser模块可以解析Python代码并返回一个抽象语法树(AST)。通过遍历这棵树，可以检查字符串代码的内容，以确保它的安全性。

import ast

code_string = "a = 1nb = 2nprint(a + b)"
code_ast = ast.parse(code_string)

for node in ast.walk(code_ast):
    if isinstance(node, ast.Call) and isinstance(node.func, ast.Name) and node.func.id == "eval":
        raise Exception("dangerous function: eval")

exec(code_ast)

上述代码将检查字符串代码中是否使用了eval()函数，如果使用了，则会抛出一个异常。

五、总结

通过eval()函数和exec()函数，可以在Python中执行字符串代码，并使用globals()和locals()函数来获取当前作用域的全局和局部变量。同时，为了保证安全性，应该限制字符串代码的内容，例如禁止使用危险函数或通过解析抽象语法树来检查代码安全性。