Как безопасно использовать exec () в Python?

Question

Мне было поручено создать приложение, в котором конечный пользователь мог бы иметь собственные правила для оценки того, приводит ли возвращенный запрос к предупреждению или предупреждению (на основе собственных пороговых значений).

Я создал способ для пользователя шаблонировать свою логику. Пример выглядит так:

if (abs(<<21>>) >= abs(<<22>>)):
    retVal = <<21>>
else:
    retVal = <<22>>

Параметры <<21>> и <<22>> будут заменены значениями, найденными ранее в программе. После того, как произойдет вся эта замена, у меня будет очень простой блок if / else (в этом примере), который выглядит так, как будто он хранится в переменной (execCd):

if (abs(22.0) >= abs(-162.0)):
    retVal = 22.0
else:
    retVal = -162.0

Это будет exec() правильно. Теперь, как я могу обеспечить это? Я посмотрел на эту статью: http://lybniz2.sourceforge.net/safeeval.html

Мой код выглядит примерно так:

safe_list = ['math','acos', 'asin', 'atan', 'atan2', 'ceil', 'cos', 'cosh', 'de grees', 'e', 'exp', 'fabs', 'floor', 'fmod', 'frexp', 'hypot', 'ldexp', 'log', 'log10', 'modf', 'pi', 'pow', 'radians', 'sin', 'sinh', 'sqrt', 'tan', 'tanh'] 
safe_dict = dict([ (k, locals().get(k, None)) for k in safe_list ]) 
safe_dict['abs'] = abs
exec(execCd,{"__builtins__":None},safe_dict)

Тем не менее, exec не удается, когда у меня есть второй и третий параметр с этим исключением - NameError: name 'retVal' is not defined

Некоторые из пользовательских логик, которыми обладают конечные пользователи, обширны, и большая часть этих изменений меняется довольно регулярно. Я не хочу поддерживать свою пользовательскую логику, и конечные пользователи хотят иметь возможность быстро тестировать различные пороги предупреждений / предупреждений.

Как я могу защитить этот оператор exec от небезопасного (преднамеренного или непреднамеренного) кода?

Answer 1

Ваш оператор exec добавляет не retVal в локальную среду, а в словарь safe_dict. Таким образом, вы можете получить его оттуда:

execCd = """
if (abs(22.0) >= abs(-162.0)):
    retVal = 22.0
else:
    retVal = -162.0
"""

safe_list = ['math','acos', 'asin', 'atan', 'atan2', 'ceil', 'cos', 'cosh', 'de grees', 'e', 'exp', 'fabs', 'floor', 'fmod', 'frexp', 'hypot', 'ldexp', 'log', 'log10', 'modf', 'pi', 'pow', 'radians', 'sin', 'sinh', 'sqrt', 'tan', 'tanh'] 
safe_dict = dict([ (k, locals().get(k, None)) for k in safe_list ]) 
safe_dict['abs'] = abs
exec(execCd,{"__builtins__":None},safe_dict)
retVal = safe_dict["retVal"]

Answer 2

Единственный безопасный способ использования eval или exec - это не использовать их.

Вам не нужно использовать exec.Вместо построения строки для выполнения, разберите ее на объекты и используйте ее для управления выполнением кода.

В самом простом случае вы можете хранить функции в dict и использовать строку для выбора функции для вызова,Если вы используете синтаксис python, python предоставляет все утилиты для синтаксического анализа, и вы должны использовать их.