シッククライアントのデスクトップアプリケーションでPythonの評価がより安全になる

Question

社内のデスクトップアプリケーションでevalを使用するのは危険です。私は、Webアプリケーションの問題を理解しています。デスクトップのシッククライアントアプリケーションでは本当に問題ですか？

我々は、我々は、ユーザーが社内DSLを使用してクエリを作成することができ、コメントが言ったように、動的にeval

Answer 1

を使用してPythonのコードにコンパイルし、それはあなたが「安全」で何を意味するかに依存してシナリオを持っています。セキュリティの観点からは、evalがすべての希望の終わりです。一度それを持って、戻って行くことはありません、ユーザーは彼が望む何でもすることができます。例

CPython2をセグメンテーションフォールトます

eval('(lambda fc=(lambda n: [c for c in().__class__.__bases__[0].__subclasses__() if c.__name__ == n][0]): fc("function")(fc("code")(0,0,0,0,"KABOOM",(),(),(),"","",0,""),{})())()') 

ため

Consider（見えない？何の手を！）。あなたのOSにcat-picturesを上書きしたり、NP対Pを解決したり、PCをブラックホールに変えたりすることもできます。要するに、一度にと入力すると、ユーザ入力はeval()になります。危険です。ユーザーが入力した内容を正しくエスケープしようとするのをやめてください。