python - 这是 python eval() 的安全使用吗？

Question

如果攻击者可以控制 attacker_controlled_nasty_variable 的值，那么这段代码是否存在漏洞？

dic={"one":1,
      "nasty":attacker_controlled_nasty_variable,
     }
store=str(dict)
...
dic=eval(store)

Answer 1

使用 ast.literal_eval() 而不是 eval()。