Go语言如何编写一个安全的动态代码求值（Eval）计算函数？表达式引擎【解析】-Golang-PHP中文网

govaluate仅支持表达式求值，不执行语句；需注意参数类型统一（如float64）、in右侧必须为slice、点号变量需扁平化、布尔值传true/false、函数调用须用newevaluableexpressionwithfunctions并严格签名。

go语言如何编写一个安全的动态代码求值（eval）计算函数？表达式引擎【解析】

直接用 govaluate 做条件表达式求值，但别传错类型

govaluate 不是 eval，它只算表达式，不执行语句——这点必须先认清。你写 "x > 5 && y in ['a','b']" 没问题，但写 "if x > 5 { return true }" 会直接 panic。

常见踩坑点集中在参数类型上：比如 JSON 解析出来的数字默认是 float64，但如果你传了个 int 或 int64，在 / 运算或 == 比较字符串时可能返回 nil 或 panic。最稳妥的做法是统一转成 float64：

params := map[string]interface{}{
    "x": float64(10),
    "y": []string{"a", "b"},
}

in 右侧必须是 slice/array，不能是字符串；contains 才支持字符串子串匹配
变量名含点号（如 user.name）会被解析器当成字段访问，但 govaluate 实际只支持 flat map，得改成 user_name 或预处理成扁平结构
布尔值必须传 true/false，传 "true" 字符串会导致 Invalid type for '==' operator

需要函数调用？必须用 NewEvaluableExpressionWithFunctions

想在表达式里写 sum(a, b) 或 in_list(x, list)，光往 parameters 里塞闭包没用——govaluate 不会把它当函数调用，只会当普通变量，运行时报 function not found。

正确做法是用 govaluate.NewEvaluableExpressionWithFunctions，并确保函数签名严格为 func(args interface{}) (interface{}, error)：

funcs := map[string]govaluate.ExpressionFunction{
    "sum": func(args ...interface{}) (interface{}, error) {
        a, ok := args[0].(float64)
        if !ok { return nil, fmt.Errorf("first arg must be float64") }
        b, ok := args[1].(float64)
        if !ok { return nil, fmt.Errorf("second arg must be float64") }
        return a + b, nil
    },
}
exp, _ := govaluate.NewEvaluableExpressionWithFunctions("sum(x, y) > 10", funcs)

函数名区分大小写，且不能覆盖内置函数（如 len、abs）
所有参数都打包进 args 切片，需手动做类型断言，失败必须返回 error
同一个 exp 实例不是 goroutine-safe 的，高并发场景下应每次新建或加锁

纯数学表达式（无变量、无函数），优先用 go/parser + go/constant

如果只要算 "2 + 3 * 4" 或 "(10 - 2) / 2" 这类不含变量和函数的常量表达式，标准库就能搞定，比引入第三方更轻、更安全。

Go语言（Golang）1.26.0

Go语言（Golang）1.26.0版本官方下载，版本号 1.26.0，适合旧项目维护、兼容性测试和指定版本开发环境搭建。

下载

它不走字符串拼接执行，而是用 AST 解析 + 类型检查，天然防注入。但注意：它完全不支持变量名、函数调用、逻辑运算符（&&、||）或比较操作符（>、==）。

输入必须是合法 Go 表达式字面量，如 "3.14 + 2e-1" 可以，"x + 1" 会报 undefined: x
返回值是 go/constant.Value，需手动转成 float64 或 int64，例如 constant.Float64Val(constant.Val(c))
适合做配置校验、模板预计算等静态场景，不适合规则引擎这类动态变量需求

真要支持嵌套结构体、自定义语法、错误定位？得自己造 AST 解析器

govaluate 对 user.profile.age 这种点号链式访问束手无策，go/parser 又不支持变量和函数，这时候就得退到 DSL 层面：自己写 lexer + parser，构建 AST 节点（BinaryExpr、CallExpr、MemberExpr 等），再实现 Evaluate() 方法。

这不是“加个库就能跑”的事。你要决定：user.name 是访问 map 的 key 还是 struct 字段？空值怎么处理（?? 还是 panic）？函数是否允许副作用？错误信息要不要带 token 行号？