[ Python ] eval과 literal_eval 차이

 

eval 함수는 표현식 string 값 그대로 실행할 수 있도록 하는 Built-in함수이다.

 

print(eval('1+1'))     # 산술연산
print(eval('{1:10}'))  #  타입변경

<class 'int'>
<class 'dict'>

 

 

 

이렇게 강력한 함수지만, 시스템 명령어도 그래도 실행할 수 있기 때문에, 보안상 위험할 수 있다.

 

eval('__import__("os").getcwd()')

'D:\\note'

 

 

 

literal_eval는 eval() 함수와 동일한 기능을 하지만 형변환 정도만 가능하다.

 

from ast import literal_eval

print(type(literal_eval('{1:10}')))  # 타입변경

<class 'dict'>

 

 

 

연산, 시스템 명령어는 에러를 발생시킨다.

 

print(literal_eval('1+1'))     # 산술연산

---------------------------------------------------------------------------
ValueError

 

print(type(literal_eval('__import__("os").getcwd()')))

---------------------------------------------------------------------------
ValueError

 

 

 

보안상 literal_eval를 사용하자!!