Python'eval'对列表反序列化的安全性

Question

在这种情况下，是否存在任何安全漏洞：

eval(repr(unsanitized_user_input), {"__builtins__": None}, {"True":True, "False":False})

其中unsanitized_user_input是str对象。这个字符串是用户生成的，可能很讨厌。假设我们的web框架没有让我们失望，它是Python内置的一个真正诚实的str实例。在

如果这很危险，我们能对输入做些什么来保证它的安全吗？在

我们绝对不想执行字符串中包含的任何内容。在

另请参见：

• Funny blog post about eval safety
• Previous Question
• Blog: Fast deserialization in Python

更大的背景（我相信）对这个问题并不重要，那就是我们有数以千计的：

^{pr2}$

在某些情况下，嵌套：

repr([[unsanitized_user_input_1,
       unsanitized_user_input_2],
      [unsanitized_user_input_3,
       unsanitized_user_input_4],
       ...])

它们本身用repr()转换为字符串，放入持久存储器，最后用eval读回内存。在

Eval从持久存储中反序列化字符串的速度比pickle和simplejson快得多。json和ast都不可用。不允许使用C模块，也不允许使用cPickle。在

Answer 1

这确实很危险，最安全的替代方法是ast.literal_eval（请参阅标准库中的ast模块）。当然，您可以构建和修改ast，以便在计算结果AST之前提供变量的求值等（当它是文本时）。在

对eval的可能攻击从它能得到它的任何对象开始（这里说True），然后经过.uu类到它的类型对象，等等，直到object，然后得到它的子类。。。基本上，它可以达到任何对象类型和破坏浩劫。我可以说得更具体一些，但我不想在公共论坛上这样做（这个漏洞是众所周知的，但是考虑到有多少人仍然忽视它，把它透露给想要脚本的孩子可能会让事情变得更糟。。。只需避免eval未经确认的用户输入，从此过上幸福的生活！-). 在