eval
セキュリティ上のリスク
編集get_da
ta()
関数を考える。次の擬似コードのようなプログラムは潜在的に危険である。
data = get_data() foo = eval(data)攻撃者がこのプログラムに例えば
"delete_system_f
iles()"
という文字列を与えることができると、delete
_system_files()
関数が実行されてしまい、重要なファイルが消されてしまうかもしれない。これを防ぐためには、evalされる文字列はすべてエスケープしたり、潜在的に危険な機能を利用できないようにして実行するなどの対策が必要となる。プログラミング言語によっては、外部から入力されたデータを﹁汚染されている﹂として印をつけるものもある。
適切な使用
編集$name = 'John Doe';
$greeting = 'Hello';
$template = '"$greeting, $name! How can I help you today?"';
print eval("return $template;")
"$name"
という文字列を $name
の値で置換することである。
eval は表計算ソフトなどの数式を評価する必要のあるアプリケーションで使われることがある。これは数式のパーサを自作するよりも手軽だが、自作や既存の専用のパーサを利用するほうがより良い。前述の問題点に加え、言語組み込みのevalはアプリケーション用にカスタマイズできないからである。
おそらく、evalの最も優れた使い道は︵LISPなどでの︶処理系のブートストラップや、言語の対話的な実行環境でユーザが書いたプログラムを実行することであろう。
実装
編集実例
編集JavaScript, ActionScript
編集JavaScriptやActionScriptにおいては、evalは式の評価器と文の実行器のハイブリッドのような存在である。evalは最後に評価された式の値を返し(JavaScriptとActionScriptではすべての文は式である)、最後のセミコロンは省くことができる。
式評価器としての例:
foo = 2;
alert(eval('foo + 2'));
文実行器としての例:
foo = 2;
eval('foo = foo + 2;alert(foo);');
LISP
編集Perl
編集Perlのevalは、文字列をプログラムとして解釈するほか、例外処理機構としても機能する。コードの塊をテストし、必要ならそれに関して警告することができる。例えば、除算において実行時エラーが発生すると$@
で警告を出力することができる。
# 0による除算の例外を回避する
eval { $answer = $x / $y; };
warn $@ if $@;
PHP
編集eval()
呼び出しの代わりにファイル中に記述されているかのように実行する。例外は、エラーは eval()
から復帰した時点で報告され、またreturn文で eval()
の戻り値を返すことができる点である。
echoを使った例:
<?php
$foo = "Hello, world!\n";
eval('echo $foo;');
?>
値を返す例:
<?php
$foo = "Goodbye, world!\n";
echo eval('return $foo;');
?>
PostScript
編集exec
演算子はオペランドを1つ取り、それが単純なリテラルならスタックにプッシュし返す。PostScriptの式を含む文字列が来た場合は、その文字列をインタプリタによって実行可能な形式に変換する。例えば、
((Hello World) =) cvx exec
は PostScript の式である (Hello World) =
(文字列 Hello World をスタックからポップして画面に表示する)を実行可能な型を持つように変換し、そして実行する。
PostScriptでは run
演算子も似た機能を持つが、代わりにインタプリタそのものがファイル中のPostScriptの式を評価する。
Python
編集>>> x = 1
>>> eval('x + 1')
2
>>> eval('x')
1
exec
の例(対話モード):
>>> x = 1
>>> y = 1
>>> exec "x += 1; y -= 1"
>>> x
2
>>> y
0
ColdFusion
編集ColdFusionの evaluate
関数は文字列で与えられた式を実行時に評価することができる。
<cfset x = "int(1+1)">
<cfset y = Evaluate(x)>
これは読み込む変数をプログラム的に選択するときなどに、特に便利である。
<cfset x = Evaluate("queryname.#columnname#[rownumber]")>
Ruby
編集Rubyには式を評価するコンテキストごとに3種類のevalが存在する。eval
はその場またはProcやBindingオブジェクト、instance_eval
はインスタンス、module_eval
(別名はclass_eval
)はモジュールかクラス、それぞれのコンテキストで評価を行う。なお、評価コンテキスト変更のためにinstance_eval
やmodule_eval
を使う場合、文字列でなくブロックを引数とすることができる[2]。
eval
の例(メソッドfooのコンテキストで評価している):
def foo
x = 1
binding
end
eval('x + 1', foo) #=> 2
instance_eval
と module_eval
の例:
class Bar
@@cvar = 10 #クラス変数
def initialize
@ivar = 5 #インスタンス変数
end
end
bar = Bar.new
bar.instance_eval('@ivar') #=> 5
Bar.class_eval('@@cvar') #=> 10
脚注
編集- ^ Adobe - Flash 8 LiveDocs
- ^ instance method BasicObject#instance_eval - Ruby1.9.3リファレンスマニュアル