Python 3，ast.literal_eval(node_or_string) 中是否有任何已知的安全漏洞？-6ren

Python 3，ast.literal_eval(node_or_string) 中是否有任何已知的安全漏洞？

转载作者：IT老高更新时间：2023-10-28 22:02:34

25

4

ast.literal_eval(node_or_string) 有什么已知的方法吗？的评估实际上并不安全？

如果是，是否有可用的补丁？

(我已经知道 PyPy[sandbox]，它可能更安全，但除非答案是肯定的，否则我的需求很小，我不会走那么远。)

最佳答案

documentation声明它是安全的，并且在 bug tracker 中没有与 literal_eval 的安全性相关的错误。，所以你可以假设它是安全的。

另外，according to the source ，literal_eval 将字符串解析为python AST(源树)，并且仅当它是文字时才返回。代码永远不会被执行，只会被解析，因此没有理由存在安全风险。

关于Python 3，ast.literal_eval(node_or_string) 中是否有任何已知的安全漏洞？，我们在Stack Overflow上找到一个类似的问题： https://stackoverflow.com/questions/4710247/

25

4

0

文章推荐： python - 递归地将python对象图转换为字典

文章推荐： c++ - 在 QT Creator 中构建时强制重新链接

文章推荐： c++ - 为什么 C++ 中的宽文件流默认会缩小写入数据的范围？

文章推荐： python - 在 Scrapy 中使用经过身份验证的 session 进行爬网

go - ast.Inspect 不走 *ast.UnaryExpr
我正在尝试检查 Go 源代码以制作一个工具。为此，我使用 ast.Inspect 函数。我需要知道函数/方法内部如何使用 channel 。我将此作为要检查的示例代码: package main
parsing - 为什么使用 AST 比不使用 AST 更快？
我正在为我自己的语言制作一个解释器作为一个业余爱好项目。目前我的解释器只是执行它看到的代码。我听说你应该让解析器从源代码生成 AST。所以我想知道，正如解析器所见，AST 实际上如何使事情比仅仅线性执
javascript - Rhino - 有没有办法在不重新解析代码的情况下将修改后的 AST 恢复为原始 AST？
我正在为 JavaScript 实现一个突变测试工具。修改 AST 并针对修改后的代码执行测试用例。运行测试用例后，我想将修改后的 AST 恢复为原始 AST，以便我可以重复变异过程。但是，我不知道如
dart - 如何使用 Dart 分析器从源代码生成 AST 并使用 AST？
AST 文档:https://www.dartdocs.org/documentation/analyzer_experimental/0.8.0/analyzer/parseCompilationU
java - 使用 Eclipse AST 将元素添加到 AST 的特定位置
更新2:再次感谢@deepak-azad，我设法解决了我的问题:这里是主代码的链接:https://gist.github.com/1714641 更新:感谢@deepak-azad，我补充了代码，但
go - 为什么 ast.CallExpr 不是有效的 ast.Expr？
我正在编写一些 Go AST 代码，而编译器在这一行上令人窒息: var call ast.Expr = ast.CallExpr{Fun: ast.NewIdent("foo"), Args: []
c - antlr 为 c 生成 ast 并解析 ast
我正在对 c 程序进行静态分析。我搜索了 antlr 网站，似乎没有合适的语法文件为 c 程序生成 ast。这是否意味着我必须从一开始就自己做。或者是有一个更快的方法。我还需要一个可以遍历解析器创建的
erlang - 将 Elixir AST 转换为 Erlang AST？是否可以？
是否可以像这样采用带引号的 Elixir 表达式(AST 树): quote do: 1 + 1 => {:+, [context: Elixir, import: Kernel], [1, 1]}
java - HQL 意外的 AST 节点 :unexpected AST node:
我遇到了这个异常: unexpected AST node: query 我的查询是: SELECT u.user_id, u.username,u.email,u.phone,u.status,r
java - 从 JAVA 中提取 AST 并将 AST 打印到文件
我是 Java 编程语言的初学者。我想从 java 源代码中提取 AST 并将 AST 打印到文件或标准输出。我按照本教程学习了如何使用 AST。 http://www.programcreek.c
python - 是否可以使用 ast.NodeVisitor 访问 Python AST 中的节点两次或更改遍历顺序？
NodeVisitor 以深度优先的方式遍历 AST，并且在进入时仅访问每个节点一次。因此，用它做一些严肃的事情是有问题的。是否可以更改其默认行为？最佳答案也许有人会对一些草拟的例子感兴趣，如何做
java - 给定另一个 AST 树，在 Java 中创建一个 AST 树
目前，我正在努力用 Java 表示我用 SML 编写的 AST 树，这样我就可以随时用 Java 遍历它。我想知道是否应该在 Java 中创建一个 Node 类，其中包含我想要表示的数据，以及一个数
python - 无法修改 pycparser AST |将 AST 转换为 C 代码
我正在尝试修改/重构输入的 C 源代码。我试图在输入代码的每一行之后添加一个 printf 语句。例如如果我的输入是 - void foo(){ // Sample input code
java - eclipse JDT AST : How to write generated AST to java file?
我目前正在使用 eclipse AST 来生成源代码。除了在大多数示例中，我是在独立应用程序中从头开始生成源代码，而不是在 eclipse 插件中。当从 ASTParser 读取时，您可以通过调用
java - 将 HQL 解析为 AST 结构并将 AST 转换回 HQL
我有一个 HQL 查询: query = select item.itemNumber from items item where item.stock>0 and item.price it = q
clojure - Om Next 的 query->ast 和 ast->query 函数
根据 Om Next's documentation : query->ast (om.next/query->ast '[(:foo {:bar 1})]) Given a query expres
Python AST，ast.NodeTransformer，TypeError : required field 'lineno' missing from stmt
如果能学到一些有用的东西，我会非常感激，至于现在，我一直在盲目地行动。所以问题出在python的ast.NodeTransformer上。我想知道是否可以使用这种方式向现有类添加一个函数，而不是生气。
erlang - 选择 AST 来为 Elixir 开发静态代码分析器？核心 Erlang 还是扩展的 Elixir AST？
我们希望为 Elixir 开发一个静态代码分析器，以检测并发问题(主要是死锁和竞争条件)。我们对分析器的结构有了一些基本的了解，但我们的问题是哪种 AST 更适合这项任务。正如我们所了解的，Elixi
c# - 无法将类型为 'NHibernate.Hql.Ast.HqlBitwiseAnd' 的对象转换为类型 'NHibernate.Hql.Ast.HqlBooleanExpression'
我在以下代码段中遇到错误 using (var session = Database.OpenSession()) { var q = from x in session.Query()
c# - 无法将类型为 'NHibernate.Hql.Ast.HqlCast' 的对象转换为类型“NHibernate.Hql.Ast.HqlBooleanExpression”
我正在使用以下 C# 代码: public IList GetAllByExpression(Expression> expression, int startIndex, int count, Fu

首页

博学

6Ren·AI

商城

Python 3，ast.literal_eval(node_or_string) 中是否有任何已知的安全漏洞？