Warum sollten exec() und eval() vermieden werden?

Question

Ich habe das schon mehrfach an verschiedenen Stellen gesehen, aber nie eine befriedigende Erklärung dafür gefunden, warum das so sein sollte.

Deshalb wird hier hoffentlich eine vorgestellt werden. Warum sollten wir (zumindest im Allgemeinen) nicht exec() y eval() ?

EDIT: Ich sehe, dass die Leute davon ausgehen, dass sich diese Frage auf Webserver bezieht - das tut sie nicht. Ich kann verstehen, warum eine nicht sanitisierte Zeichenkette, die an exec könnte schlecht sein. Ist es schlecht in Nicht-Web-Anwendungen?

Answer 1

Diese Funktionen in einem Kontext zuzulassen, in dem sie Benutzereingaben ausführen könnten, ist ein Sicherheitsproblem, und tatsächlich funktionierende Sanitizer sind schwer zu schreiben.

Answer 2

Ich habe verwendet eval() in der Vergangenheit (und auch heute noch von Zeit zu Zeit) für das Massieren von Daten bei schnellen und schmutzigen Operationen verwendet. Es ist ein Teil des Werkzeugkastens, der für die Erledigung einer Aufgabe verwendet werden kann, sollte aber NIEMALS für etwas verwendet werden, das Sie in der Produktion einsetzen wollen wie z. B. Befehlszeilen-Tools oder Skripte, und zwar aus den in den anderen Antworten genannten Gründen.

Sie können sich nicht darauf verlassen, dass Ihre Benutzer das Richtige tun - niemals. In den meisten Fällen werden sie es tun, aber Sie müssen damit rechnen, dass sie all die Dinge tun, an die Sie nie gedacht haben, und all die Fehler finden, die Sie nie erwartet haben. Dies ist genau der Punkt, an dem eval() wird von einem Hilfsmittel zu einer Belastung.

Ein perfektes Beispiel dafür wäre die Verwendung von Django, wenn man eine QuerySet . Die Parameter, die an eine Abfrage übergeben werden, akzeptieren Schlüsselwortargumente, die etwa so aussehen:

results = Foo.objects.filter(whatever__contains='pizza')

Wenn Sie Argumente programmatisch zuweisen, könnten Sie etwa so vorgehen:

results = eval("Foo.objects.filter(%s__%s=%s)" % (field, matcher, value))

Aber es gibt immer einen besseren Weg, der nicht mit eval() was die Übergabe eines Wörterbuchs per Referenz bedeutet:

results = Foo.objects.filter( **{'%s__%s' % (field, matcher): value} ) 

Auf diese Weise ist es nicht nur leistungsmäßig schneller, sondern auch sicherer und pythonischer.

Die Moral von der Geschicht?

Verwendung von eval() es ok für kleine Aufgaben, Tests und wirklich vorübergehende Dinge, aber schlecht für eine dauerhafte Nutzung, denn es gibt fast immer einen besseren Weg, dies zu tun!

Answer 3

Das ist auch der Grund, warum man sich nicht als Root anmelden sollte: Man schießt sich zu leicht in den Fuß.

Answer 4

Versuchen Sie nicht, die folgenden Schritte auf Ihrem Computer durchzuführen:

s = "import shutil; shutil.rmtree('/nonexisting')"
eval(s)

Nehmen wir nun an, jemand kann s beispielsweise von einer Webanwendung aus steuern.

Answer 5

Grund Nr. 1: Eine Sicherheitslücke (d.h. Programmierfehler... und wir können nicht behaupten, dass diese vermieden werden können) und Sie haben dem Benutzer gerade Zugang zur Shell des Servers gegeben.