使用 Python 的输入而不是 raw_input 有用吗？

Question

我目前教大学一年级学生 python，我惊讶地发现，我的一些学生决定使用的看似无害的 input 函数（并被奇怪的行为弄糊涂了）被隐藏了对其后面的eval 的调用。

所以我的问题是，为什么 input 函数调用 eval ，这有什么用处，使用 raw_input< 会不会更安全？ /代码>？据我所知，Python 3 中对此进行了更改，但首先这似乎是一个不寻常的设计决策。

Python 2.x 输入函数文档

Answer 1

使用 Python 2 的输入而不是 raw_input 有用吗？

否。

---

input() 评估用户提供的代码。它将 Python 的全部功能交到用户手中。使用生成器表达式/列表推导式，__import__，以及if/else 运算符，实际上 Python 能做的任何事情都可以通过单个表达式来实现。恶意用户可以使用 input() 删除文件 (__import__('os').remove('precious_file'))，monkeypatch 程序的其余部分 ( setattr(__import__('__main__'), 'function', lambda:42)), ... 任何东西。

普通用户不需要使用所有高级功能。如果不需要表达式，请使用 ast.literal_eval(raw_input()) – literal_eval 函数是安全的。

如果您是为高级用户编写代码，请为他们提供更好的输入代码的方式。插件、用户模块等——具有完整 Python 语法的东西，而不仅仅是功能。

如果您绝对确定自己知道自己在做什么，请说eval(raw_input())。 eval 尖叫着“我很危险！”训练有素的眼睛。但是，很可能您永远都不需要这个。

---

input() 是 Python 3 正在解决的旧设计错误之一。

Answer 2

Python 输入函数返回一个作为结果的对象
评估表达式。
raw_input 函数返回一个字符串

name = "Arthur"
age = 45

first = raw_input("Please enter your age ")
second = input("Please enter your age again ")

# first will always contain a string

# second could contain any object and you can even
# type in a calculation and use "name" and "age" as
# you enter it at run time ...

print "You said you are",first
print "Then you said you are",second

运行示例：

示例：1

Prompt$ python yraw 
Please enter your age 45 
Please enter your age again 45 
You said you are 45 Then you said you are 45

示例：2

Prompt$ python yraw
Please enter your age 45 + 7
Please enter your age again 45 + 7
You said you are 45 + 7 Then you said you are 52 
Prompt$

问：为什么输入函数调用 eval？

A. 考虑用户在输入中输入表达式“45 + 7”的场景，与 python 2.x 中的 raw_input 相比，输入将给出正确的结果

Answer 3

input 几乎只用作交互式 python shell 的构建块。你当然是对的，它的工作方式令人惊讶，而且它的用途过于特定，无法成为内置函数 - 我认为这就是它从 Python 3 中删除的原因。

Answer 4

raw_input 更好，它总是返回用户的输入，不做任何更改。
相反，input() 函数会尝试将您输入的内容转换为 Python 代码，并且它存在安全问题，因此您应该避免使用它。

在实际程序中，不要使用 input()，而是使用处理您期望的特定输入格式的内容来解析您的输入，而不是通过将输入评估为 Python 代码。