cval

CVAL

Una capa de protección para evaluación
Ver ejemplos · Informe de error

Instalación

Sé que a muchas personas no les importan los motivos detrás de un programa, por lo que he puesto la instalación en la parte superior.

Unix y Mac

python3 -m pip install cval

Windows

py - m pip install cval

Acerca de

Un script decentemente simple que utiliza una expresión regular para agregar una capa de protección a Eval. ¿Por qué? Bueno, sigo viendo que "eval realmente es peligroso" y "eval es una mala práctica" . Todas estas declaraciones tienen cierta validez para ellos, y casi siempre hay una mejor manera de hacer lo que quiere para acomodar. CVAL aborda la mentalidad "Eval realmente es peligrosa" , si debe usar EVAL para un proyecto público, use CVAL.

Explotación

Le animo a que rompa mi guión, informe cualquier error o vulnerabilidad aquí, ¡gracias!

Ejemplos

Estos ejemplos se centran puramente en la seguridad en lugar de ejemplos prácticos del mundo real.

Desactivar la importación del módulo

 # :NOTE: modules is False by default, and the reason we allow function calls
#        is to see the error given when trying to import a module.
cval ( '__import__("os")' , calls = True , modules = False )

Producción:

 cval.IllegalSource: Cval panicked due to an attempted illegal import of the module "os"

Permitir ciertos módulos

 cval ( '__import__("os")' , allowed_modules = [ "os" ], allowed_calls = [ "import" ])

Deshabilitar llamadas de función

 cval ( 'print("Hello, World!")' , calls = False )

Producción:

 cval.IllegalSource: Cval panicked due to an illegal function call in source! Attemped call to "print"

Permitir ciertas llamadas de funciones

 cval ( 'print("Hello, World!")' , allowed_calls = [ "print" ])

Bloquear el acceso a las variables globales

 foo = "bar"

def foobar ():
    # :NOTE: `globals` doesn't need to be passed in this case
    #        this is only done here for clarity 
    cval ( 'print(foo)' , globals = globals (), allowed_calls = [ "print" ])  # Will not be able to access "foo"
foobar ()

Producción:

 cval.SuspiciousSource: Cval found global variable "foo" in the source, killing for safety.

Permitir algo de acceso a variables globales

 foo = "bar"

def foobar ():
    cval ( 'print(foo)' , globals = globals (), allowed_global_vars = [ "foo" ], allowed_calls = [ "print" ])
foobar ()

Producción:

 bar

Permitir el acceso a todas las variables globales

 foo = "bar"
bar = "foo"

def foobar ():
    cval ( 'print(bar+foo")' , globals = globals (), allowed_global_vars = [ "*" ], allowed_calls = [ "print" ])
foobar ()

Producción:

 foobar

Bloquear variables locales de acceso

 def fizzbuzz ():
    fizz = "buzz"
    cval ( 'print(fizz)' , locals = locals ())  # Will not be able to access "fizz"
fizzbuzz ()

Producción:

 cval.SuspiciousSource: Cval found local variable "fizz" in the source, killing for safety.

Permitir algo de acceso a variables locales

 def fizzbuzz ():
    fizz = "buzz"
    cval ( 'print(fizz)' , locals = locals (), allowed_local_vars = [ "fizz" ], allowed_calls = [ "print" ])
fizzbuzz ()

Producción:

 buzz

Permitir el acceso a todas las variables locales

 def fizzbuzz ():
    fizz = "buzz"
    buzz = "fizz"
    cval ( 'print(buzz+fizz)' , locals = locals (), allowed_local_vars = [ "*" ], allowed_calls = [ "print" ])
fizzbuzz ()

Producción:

 fizzbuzz