cval

Cval

Uma camada de proteção para avaliar
Ver exemplos · Bug de relatório

Instalação

Sei que muitas pessoas não se importam com os motivos por trás de um programa, então coloquei a instalação no topo.

Unix e Mac

python3 -m pip install cval

Windows

py - m pip install cval

Sobre

Um script decentemente simples que usa expressão regular para adicionar uma camada de proteção para avaliar. Por que? Bem, eu continuo vendo "Eval realmente é perigoso" e "avaliar é uma péssima prática" . Todas essas declarações têm alguma validade para eles, e quase sempre há uma maneira melhor de fazer o que você deseja cumprir. O CVAL aborda a mentalidade "Eval realmente é perigosa" , se você precisar usar o aval para um projeto público. Use CVAL.

Explorando

Convido você a quebrar meu script, relatar bugs ou vulnerabilidades aqui, obrigado!

Exemplos

Esses exemplos são focados puramente na segurança, e não em exemplos práticos do mundo real.

Desative a importação do módulo

 # :NOTE: modules is False by default, and the reason we allow function calls
#        is to see the error given when trying to import a module.
cval ( '__import__("os")' , calls = True , modules = False )

Saída:

 cval.IllegalSource: Cval panicked due to an attempted illegal import of the module "os"

Permitir certos módulos

 cval ( '__import__("os")' , allowed_modules = [ "os" ], allowed_calls = [ "import" ])

Desativar chamadas de função

 cval ( 'print("Hello, World!")' , calls = False )

Saída:

 cval.IllegalSource: Cval panicked due to an illegal function call in source! Attemped call to "print"

Permitir determinadas chamadas de função

 cval ( 'print("Hello, World!")' , allowed_calls = [ "print" ])

Bloqueie o acesso a variáveis ​​globais

 foo = "bar"

def foobar ():
    # :NOTE: `globals` doesn't need to be passed in this case
    #        this is only done here for clarity 
    cval ( 'print(foo)' , globals = globals (), allowed_calls = [ "print" ])  # Will not be able to access "foo"
foobar ()

Saída:

 cval.SuspiciousSource: Cval found global variable "foo" in the source, killing for safety.

Permita algum acesso a variáveis ​​globais

 foo = "bar"

def foobar ():
    cval ( 'print(foo)' , globals = globals (), allowed_global_vars = [ "foo" ], allowed_calls = [ "print" ])
foobar ()

Saída:

 bar

Permitir acesso a todas as variáveis ​​globais

 foo = "bar"
bar = "foo"

def foobar ():
    cval ( 'print(bar+foo")' , globals = globals (), allowed_global_vars = [ "*" ], allowed_calls = [ "print" ])
foobar ()

Saída:

 foobar

Bloquear variáveis ​​locais de acesso

 def fizzbuzz ():
    fizz = "buzz"
    cval ( 'print(fizz)' , locals = locals ())  # Will not be able to access "fizz"
fizzbuzz ()

Saída:

 cval.SuspiciousSource: Cval found local variable "fizz" in the source, killing for safety.

Permita algum acesso a variáveis ​​locais

 def fizzbuzz ():
    fizz = "buzz"
    cval ( 'print(fizz)' , locals = locals (), allowed_local_vars = [ "fizz" ], allowed_calls = [ "print" ])
fizzbuzz ()

Saída:

 buzz

Permitir acesso a todas as variáveis ​​locais

 def fizzbuzz ():
    fizz = "buzz"
    buzz = "fizz"
    cval ( 'print(buzz+fizz)' , locals = locals (), allowed_local_vars = [ "*" ], allowed_calls = [ "print" ])
fizzbuzz ()

Saída:

 fizzbuzz