Переконайтеся, що небезпечний код не використовується випадково

Функція f()використовує eval()(або щось настільки небезпечне) з даними, які я створив і зберігав local_fileна машині, на якій працює моя програма:

import local_file

def f(str_to_eval):
    # code....
    # .... 
    eval(str_to_eval)    
    # ....
    # ....    
    return None


a = f(local_file.some_str)

f() безпечно запускати, оскільки струни, які я йому надаю, є моїми власними.

Однак якщо я коли-небудь вирішу використовувати його для чогось небезпечного (наприклад, введення користувача), речі можуть піти не так . Крім того, якщо local_fileперестає бути локальним, то це створить вразливість, оскільки мені потрібно довіряти машині, яка також надає цей файл.

Як я повинен гарантувати, що я ніколи не «забуду», що ця функція небезпечна для використання (якщо не будуть дотримані конкретні критерії)?

_{Примітка: eval()небезпечно і зазвичай може бути замінено чимось безпечним.}

Визначте тип прикраси "безпечних" входів. У своїй функції f()запевняйте, що аргумент має такий тип або киньте помилку. Будьте досить розумні, щоб ніколи не визначати ярлик def g(x): return f(SafeInput(x)).

Приклад:

class SafeInput(object):
  def __init__(self, value):
    self._value = value

  def value(self):
    return self._value

def f(safe_string_to_eval):
  assert type(safe_string_to_eval) is SafeInput, "safe_string_to_eval must have type SafeInput, but was {}".format(type(safe_string_to_eval))
  ...
  eval(safe_string_to_eval.value())
  ...

a = f(SafeInput(local_file.some_str))

Хоча це можна легко обійти, але це ускладнює випадково. Люди можуть критикувати таку драконівську перевірку типу, але вони будуть пропускати суть. Оскільки SafeInputтип - це лише тип даних, а не об'єктно-орієнтований клас, який можна підкласифікувати, перевірка ідентичності типу type(x) is SafeInputбезпечніша, ніж перевірка сумісності типу isinstance(x, SafeInput). Оскільки ми хочемо застосувати конкретний тип, ігнорування явного типу та просто неявне введення качки також тут не задовільне. У Python є система типів, тому давайте скористаємося нею для виявлення можливих помилок!

Як Джоел одного разу зазначив, зробіть неправильний код невірним (прокрутіть униз до розділу "Реальне рішення", а ще краще прочитайте його повністю; він того вартий, навіть якщо він адресує змінну замість імен функцій). Тому я смиренно пропоную перейменувати свою функцію на щось подібне f_unsafe_for_external_use()- ви, швидше за все, самі придумаєте якусь схему абревіатури.

Редагувати: Я вважаю, що пропозиція Амона є дуже хорошою, на тій же темі, що базується на ОО: --)

Доповнюючи пропозицію від @amon, ви також можете подумати про поєднання тут стратегії, а також методу об'єктного шаблону.

class AbstractFoobarizer(object):
    def handle_cond(self, foo, bar):
        """
        Handle the event or something.
        """
        raise NotImplementedError

    def run(self):
        # do some magic
        pass

А потім "нормальна" реалізація

class PrintingFoobarizer(AbstractFoobarizer):
    def handle_cond(self, foo, bar):
        print("Something went very well regarding {} and {}".format(foo, bar))

І реалізація адміністратором-введенням-eval

class AdminControllableFoobarizer(AbstractFoobarizer):
    def handle_cond(self, foo, bar):
        # Look up code in database/config file/...
        code = get_code_from_settings()
        eval(code)

(Примітка. На прикладі реального світу я можу дати кращий приклад).