Python eval() 函数（保姆级教程）

Python eval() 函数：深入理解动态执行表达式的能力

在 Python 编程中，eval() 是一个看似简单却极具威力的内置函数。它能够将字符串形式的 Python 表达式“还原”为实际的代码并执行，就像一位精通语法的翻译官，把文本变成可运行的程序逻辑。对于初学者来说，它可能像一把双刃剑——用得好能提升开发效率，用得不好则可能带来安全风险。今天我们就来系统性地拆解这个函数，从基础用法到高阶应用，再到潜在陷阱，带你真正掌握 Python eval() 函数的使用之道。

什么是 Python eval() 函数？

eval() 函数的核心功能是：接收一个字符串参数，并将其作为 Python 表达式进行求值。如果字符串内容是一个合法的 Python 表达式，eval() 就会执行它并返回结果。

举个最简单的例子：

expression = "2 + 3 * 4"
result = eval(expression)
print(result)  # 输出：14

注释：这里 expression 是一个字符串，内容是 "2 + 3 * 4"。eval() 会将其当作表达式解析并计算，最终返回整数 14。这就像你在纸上写下算式，然后让计算器帮你算出答案。

注意：eval() 只能处理表达式（expression），不能处理语句（statement），比如不能处理 if、for、def 这类语句。这是它与 exec() 的关键区别之一。

基础用法：表达式求值的实用场景

eval() 在很多场景下非常实用，尤其是在需要动态计算或解析用户输入的情况下。

动态计算数学表达式

假设你正在开发一个简易计算器，用户输入类似 "10 / 2 + 3" 的表达式，你需要动态计算结果：

user_input = "10 / 2 + 3"
result = eval(user_input)
print(f"计算结果是：{result}")  # 输出：计算结果是：8.0

注释：用户输入的字符串被 eval() 解析并计算。注意结果是浮点数，因为 / 运算符在 Python 中默认返回浮点类型。

处理变量引用

eval() 还可以引用变量，只要这些变量在当前作用域中存在：

x = 5
y = 10
expr = "x * y + 2"
result = eval(expr)
print(result)  # 输出：52

注释：eval() 会自动查找 x 和 y 的值，然后执行乘加运算。这在构建配置系统或表达式引擎时非常有用。

高阶应用：配置文件与表达式引擎

在实际项目中，eval() 常被用于解析配置文件中的动态表达式，尤其适合需要灵活配置规则的系统。

从配置字符串中读取条件判断

比如你有一个配置文件，定义了某些规则：

config_rule = "score > 80"
score = 85

is_excellent = eval(config_rule)
print(f"是否优秀：{is_excellent}")  # 输出：是否优秀：True

注释：这里 config_rule 是一个字符串表达式，eval() 会根据当前 score 的值进行判断，返回布尔值。这种方式让规则可配置，无需修改代码。

构建表达式求值器

我们可以封装一个简单的表达式求值器，支持变量传入：

def evaluate_expression(expr, variables=None):
    """
    求值表达式，支持传入变量字典
    :param expr: 字符串表达式
    :param variables: 变量字典，如 {'a': 10, 'b': 5}
    :return: 表达式计算结果
    """
    if variables is None:
        variables = {}
    return eval(expr, {"__builtins__": {}}, variables)

expr = "a + b * 2"
vars_dict = {"a": 3, "b": 4}
result = evaluate_expression(expr, vars_dict)
print(result)  # 输出：11

注释：我们通过 eval(expr, {"__builtins__": {}}, variables) 的方式，限制了内置函数的访问（如 open、exec），提高安全性。这是 eval() 安全使用的关键技巧。

安全风险：为什么 eval() 被称为“危险函数”？

尽管 eval() 功能强大，但它的使用必须非常谨慎。最大的风险是代码注入。

恶意代码注入示例

假设你接受用户输入并直接用 eval() 执行：

user_input = "__import__('os').system('rm -rf /')"  # 删除系统文件（仅限 Linux）
eval(user_input)  # ⚠️ 极其危险！

注释：这段代码会尝试导入 os 模块并执行系统命令，可能导致系统崩溃或数据丢失。在真实场景中，这种攻击可能通过 Web 表单、API 参数等途径发生。

如何安全地使用 eval()？

1. 避免直接传入用户输入：不要让 eval() 处理未经验证的用户输入。
2. 使用 safe_eval 限制作用域：通过传入 globals 和 locals 参数，限制可用的内置函数和变量。
3. 使用 ast.literal_eval() 替代：如果只处理字面量（如列表、字典、数字、字符串），请优先使用 ast.literal_eval()，它更安全。

import ast

safe_data = ast.literal_eval("[1, 2, 3]")
print(safe_data)  # 输出：[1, 2, 3]

注释：ast.literal_eval() 只能解析 Python 的字面量结构，不会执行任何代码，因此是 eval() 的安全替代品。

实际案例：构建一个简单的表达式计算器

让我们结合前面的知识，写一个完整的表达式计算器，支持变量和基本运算。

def calculator():
    print("=== 简易表达式计算器 ===")
    print("支持运算：+ - * / ** (幂运算)")
    print("支持变量：如 a=5, b=3")
    print("输入 'quit' 退出\n")

    # 初始化变量字典
    variables = {}

    while True:
        user_input = input("请输入表达式：").strip()

        if user_input.lower() == 'quit':
            print("再见！")
            break

        # 处理变量赋值，如 a=5
        if '=' in user_input:
            try:
                var_name, value_str = user_input.split('=', 1)
                var_name = var_name.strip()
                value = eval(value_str.strip(), {"__builtins__": {}}, variables)
                variables[var_name] = value
                print(f"变量 {var_name} 已赋值为 {value}")
            except Exception as e:
                print(f"赋值错误：{e}")
            continue

        # 处理表达式计算
        try:
            result = eval(user_input, {"__builtins__": {}}, variables)
            print(f"结果：{result}")
        except Exception as e:
            print(f"计算错误：{e}")

注释：这个计算器具备基本的变量管理与表达式求值能力。通过限制 globals 中的 __builtins__，我们有效防止了恶意代码执行。用户只能使用基本运算和已定义的变量。

常见误区与最佳实践

最佳实践总结

• 仅在可信输入场景下使用 eval()。
• 始终传入 globals 和 locals 限制作用域。
• 优先考虑 ast.literal_eval() 或自定义解析器。
• 添加日志与异常捕获，便于排查问题。

总结

Python eval() 函数 是一个强大但危险的工具。它能让你用字符串动态执行代码，极大提升灵活性，但也可能成为安全漏洞的入口。掌握它的核心机制、应用场景和潜在风险，是每个 Python 开发者必须具备的能力。

记住：功能强大不等于必须使用。在大多数情况下，使用 ast.literal_eval()、配置文件解析器或表达式树（AST）等更安全的替代方案，才是更明智的选择。

最后提醒一句：不要让“方便”成为“危险”的借口。当你写 eval() 时，先问自己：有没有更安全的方式？答案往往是肯定的。

祝你编程愉快，代码安全！