本文介绍如何安全、灵活地解析并执行用户通过 JSON 等外部配置提供的动态条件表达式（如 (Bob.age == Jane.age) || (Bob.age
本文介绍如何安全、灵活地解析并执行用户通过 json 等外部配置提供的动态条件表达式（如 `(bob.age == jane.age) || (bob.age
在构建报表系统、规则引擎或低代码平台时，常需支持用户以声明式方式编写逻辑条件（例如 "Bob.age > 30 and Jane.age ），再由后端动态求值。虽然 Python 的 eval() 函数看似便捷，但它会执行任意代码，存在严重安全隐患——一旦用户输入恶意语句（如 __import__('os').system('rm -rf /')），将导致服务被入侵。
✅ 推荐方案：使用 pyparsing 构建安全表达式解析器pyparsing 是成熟、轻量、可定制的语法解析库，适合构建受限但语义清晰的条件语言。以下是一个最小可行示例：
from pyparsing import infixNotation, opAssoc, Word, alphas, nums, Suppress, oneOf, Group
# 定义变量名（如 Bob.age、Jane.age）
identifier = Word(alphas, alphas + nums + "._")
# 定义数字字面量（支持整数）
number = Word(nums).setParseAction(lambda t: int(t[0]))
# 定义原子表达式：变量或数字
atom = identifier | number
# 支持的比较运算符
comparison_op = oneOf("== != >=")
boolean_op = oneOf("and or")
# 构建条件表达式语法（支持括号、优先级）
expr = infixNotation(
atom,
[
(comparison_op, 2, opAssoc.LEFT),
(boolean_op, 2, opAssoc.LEFT),
]
)
# 数据上下文（模拟你的固定表）
context = {
"Bob.age": 47,
"Bill.age": 44,
"Jane.age": 36,
"Steve.age": 22,
}
def safe_eval(token):
if isinstance(token, str):
return context.get(token, 0) # 未定义变量返回默认值（或抛异常）
return token
def evaluate(parsed):
if isinstance(parsed, list):
if len(parsed) == 3 and parsed[1] in ("==", "!=", "", ">="):
left, op, right = parsed
lval = safe_eval(evaluate(left))
rval = safe_eval(evaluate(right))
return {
"==": lambda a, b: a == b,
"!=": lambda a, b: a != b,
"": lambda a, b: a > b,
">=": lambda a, b: a >= b,
}[op](lval, rval)
elif parsed[1] == "and":
return evaluate(parsed[0]) and evaluate(parsed[2])
elif parsed[1] == "or":
return evaluate(parsed[0]) or evaluate(parsed[2])
return safe_eval(parsed)
# 使用示例
user_condition = "(Bob.age == Jane.age) or (Bob.age <p>⚠️ 注意事项： </p><div class="aritcle_card flexRow artxards">
<div class="artcardd flexRow">
<a class="aritcle_card_img" rel="nofollow" href="/xiazai/skill12569" title="Biopython"><img
src="https://img.php.cn/upload/skill/001/246/273/6adaf20e695c2374.jpg" alt="Biopython" onerror="this.onerror='';this.src='/static/lhimages/moren/morentu.png'" ></a>
<div class="aritcle_card_info flexColumn">
<a rel="nofollow" href="/xiazai/skill12569" title="Biopython" class="overflowclass">Biopython</a>
<p class="overflowclass">全面的分子生物学工具集。适用于序列操作、文件解析（FASTA/GenBank/PDB）、系统发育分析，以及通过 Bio.Entrez 以编程方式访问 NCBI/</p>
</div>
<a rel="nofollow" href="/xiazai/skill12569" title="Biopython" class="aritcle_card_btn flexRow flexcenter"><b></b><span>下载</span>
</a>
</div>
</div>
-
永远避免
eval()/exec()处理不可信输入；即使加了__builtins__={}仍可能被绕过； - 若需更强大语法（如函数调用
max(Bob.age, Jane.age)），可结合simpleeval库（专为安全数学/逻辑表达式设计）； - JSON 配置中建议统一使用小写布尔运算符（
and/or），而非||/&&，以降低解析复杂度； - 实际部署时应增加超时控制与深度限制，防止正则回溯或无限递归攻击。
? 总结：动态条件求值不是“能否实现”，而是“如何安全实现”。选择 pyparsing 或 simpleeval 可在可控语法范围内达成高灵活性与强安全性平衡，是工业级规则系统的主流实践。
Python免费学习笔记（深入）：立即使用
在学习笔记中，你将探索 Python 的核心概念和高级技巧！
