使用eval进行表达评估的安全性如何？

Question

我正在建立一个网站，我需要用户应该能够根据数据库表中的值来评估某些表达式，而不是使用pyparsing等工具，而是考虑使用python本身，并提出了一个解决方案这足以满足我的目的。我基本上是使用eval来评估表达式，并以空传递全局变量dict，__builtins__这样就无法访问任何内容，而从数据库获取值的局部变量dict
，如果用户需要一些函数，我也可以传递这些函数

import datetime
def today():
    return datetime.datetime.now()

expression = """ first_name.lower() == "anurag" and today().year == 2010 """

print eval(expression, {'__builtins__':{}}, {'first_name':'Anurag', 'today':today})

所以我的问题是，它将有多安全，我有三个条件

1. 用户可以访问我的程序或表等的当前状态吗？
2. 用户可以访问操作系统级别的呼叫吗？
3. 用户可以通过循环或使用大量内存（例如通过执行range（10 * 8））来停止我的系统，在某些情况下可以做到100 ** 1000等，因此3并不是什么大问题。我可能会用tokenize检查此类操作，无论如何，我将使用GAE，所以它不是很多问题。

编辑 ：IMO这不是Q：661084的重复项，因为它从此结束开始，我想知道即使__builtins__被阻止，用户也可以做坏事吗？

Answer 1

这是完全不安全的使用eval，甚至内置插件清空受阻-
攻击者可以用文字开始，得到它__class__，等，等，最多object，它的__subclasses__，等等…基本上，Python的自省是太强烈抵抗熟练，坚定的攻击者。

ast.literal_eval
是 安全的，如果您可以忍受其局限性…