相关疑难解决方法(0)

我正在使用以下课程轻松存储我的歌曲数据.

class Song:
    """The class to store the details of each song"""
    attsToStore=('Name', 'Artist', 'Album', 'Genre', 'Location')
    def __init__(self):
        for att in self.attsToStore:
            exec 'self.%s=None'%(att.lower()) in locals()
    def setDetail(self, key, val):
        if key in self.attsToStore:
            exec 'self.%s=val'%(key.lower()) in locals()

我觉得这比写出一个if/else块更具可扩展性.但是,eval似乎被认为是一种不良做法并且使用起来不安全.如果是这样,任何人都可以向我解释为什么并告诉我一个更好的方法来定义上面的类？

如果我使用eval()评估Python字符串,并且有一个类如下:

class Foo(object):
    a = 3
    def bar(self, x): return x + a

如果我不信任字符串会有什么安全风险？特别是:

1. 是eval(string, {"f": Foo()}, {})不安全的？也就是说,你可以从Foo实例到达os或sys或者不安全的东西吗？
2. 是eval(string, {}, {})不安全的？也就是说,我可以完全从内置像len和list到达os或sys吗？
3. 有没有办法让eval上下文中的内置函数不存在？

有一些不安全的字符串,如"[0]*100000000",我不在乎,因为在最坏的情况下,他们会减慢/停止程序.我主要关心的是保护程序外部的用户数据.

显然,eval(string)在大多数情况下,没有自定义词典是不安全的.