Warum sollten exec() und eval() vermieden werden?

Question

Ich habe das schon mehrfach an verschiedenen Stellen gesehen, aber nie eine befriedigende Erklärung dafür gefunden, warum das so sein sollte.

Deshalb wird hier hoffentlich eine vorgestellt werden. Warum sollten wir (zumindest im Allgemeinen) nicht exec() y eval() ?

EDIT: Ich sehe, dass die Leute davon ausgehen, dass sich diese Frage auf Webserver bezieht - das tut sie nicht. Ich kann verstehen, warum eine nicht sanitisierte Zeichenkette, die an exec könnte schlecht sein. Ist es schlecht in Nicht-Web-Anwendungen?

Answer 1

Versuchen Sie dies im interaktiven Interpreter und sehen Sie, was passiert:

>>> import sys
>>> eval('{"name" : %s}' % ("sys.exit(1)"))

Natürlich ist dies ein Einzelfall, aber es kann schwierig sein, so etwas zu verhindern.