Python：我应该使用 eval、exec 还是 ..？

Question

我试图使以下语句更加灵活：

for posting in page.findAll(attrs = {"id": re.compile(r'''post\d+''')}):

以下部分是从 CSV 文件动态检索并存储在字符串中（例如名为 test 的字符串）。 CSV 存储在安全位置，仅供管理员访问。

attrs = {"id": re.compile(r'''post\d+''')}

我可以使用 eval(test) 或 exec(test) 而不是仅测试来按如下方式集成变量吗？

for posting in page.findAll(test)):

Answer 1

如果您想从用户输入运行代码（输入文件内容），您将需要 eval 或 exec，通过这些名称或其他名称（具体来说，您需要 < code>exec for 语句 - 赋值是一个语句）。

但你不想（也不应该）这样做，因为这是邪恶的、不安全的、完全不必要的等等。删除赋值（仅存储字典）和 re.compile 调用，那么你可以在上面使用 ast.literal_eval 并且你非常安全（你仍然应该捕获语法错误和其他可能出错的内容以显示合理的错误消息，但恶意代码应该接近不可能，而且也没有那么脏）。如果您认为需要，可以在加载后应用re.compile。

Answer 2

除非您完全无法控制 CSV 源，否则应不惜一切代价避免此类加载。

• 使用 pickle 模块将正则表达式保存为序列化数据（或者更好，只需保存字符串）
• 使用 json 模块将数据保存为 JSON 使用 json
• 将其写入文件code>csv module

然后执行相反的操作，从文件中获取数据。

如果您无法控制 CSV 生成，请尝试使用 split 或 re 模块手动提取数据。

eval 和 exec 是“最后机会解决方案”。除非没有其他方法，否则避免使用它们。

Answer 3

最安全的是 ast.literal_eval()：

>>> args = ast.literal_eval('{"a":1}')
>>> args
{'a': 1}

您可以将其用作：

some_function_or_method(**args)

Answer 4

两者都不是——这是Python——你可以编写一系列命名参数和所需的值来将函数作为字典调用。在这种情况下，键“attrs”的值的字典也是字典。调用函数时只需在字典名称前添加“**”即可：

test= {"attrs": {\"id\": re.compile(r'''post\d+''')} }

for posting in page.findAll(**test}):
   (...)