【eval函数python】Python 里的 `eval()` 确实是个让人又爱又恨的工具。初学的时候觉得它神奇，能把字符串直接当成代码跑，省去了很多转换的麻烦。但到了真正做项目阶段，大多数老司机都会劝你尽量绕着走。因为它不仅有时候性能不好，更致命的是安全风险。这东西就像一把没有锁的瑞士军刀，能解构字符串里的表达式，但也可能让恶意代码有机可乘。
如果你一定要用，得清楚它到底在干什么。简单来说，`eval("1+1")` 就是告诉解释器：“把这句字符串当成 Python 代码执行一下”。它返回表达式的值，跟 `int()` 那种类型转换不太一样，它是动态执行的逻辑。比如解析配置文件、动态计算数学公式都能用到。不过，千万别拿用户随便输入的字符串扔进去，不然你的程序立马变成别人手中的提线木偶。下面整理了核心用法和安全性的对比，方便快速对照。
| 特性维度 | 常规描述 | 潜在风险/注意点 | 推荐替代方案 |
| : | : | : | : |
| 基本功能 | 将字符串作为 Python 表达式求值 | 字符串内容不可控时极度危险 | 使用正则或特定解析器 |
| 返回值 | 直接返回计算结果（如数字、对象） | 容易抛出 SyntaxError 或 NameError | `ast.literal_eval` 更安全 |
| 权限范围 | 默认在当前局部和全局作用域运行 | 若泄露 `__import__` 等内置函数，可执行任意命令 | 限制 globals/locals 字典 |
| 适用场景 | 简单的数学运算、动态配置加载 | 不应处理外部输入的数据（如 JSON 请求） | `json.loads` 处理结构数据 |
| 执行效率 | 调用 C 层接口，速度较快 | 频繁动态执行会阻碍字节码优化 | 静态代码通常更快 |
在实际开发里，如果只是为了安全地解析简单的数据结构（比如列表、字典），强烈建议换成 `ast.literal_eval`。虽然它的名字听着比较学术，但它只允许基础字面量，不会执行任何函数调用，相当于给 `eval` 戴上了紧箍咒。还有，如果涉及到复杂的计算逻辑，不要试图用字符串拼接去生成代码，那样既难维护又不稳定。很多时候，直接用字典查表或者函数映射表就能解决原本想用 `eval` 解决的动态调度问题。
一句话总结：能用静态逻辑就不用动态执行，非要用 `eval` 时必须先确保输入源绝对干净，并且记得清空不必要的内置变量。毕竟，安全总是比“少写几行代码”更重要。