Хорошо. Я знаю, что это не совсем ответ, но, возможно, записка для людей, которые смотрят на это так, как я. Я хотел выполнить конкретный код для разных пользователей / клиентов, но также хотел избежать exec / eval. Сначала я искал сохранение кода в базе данных для каждого пользователя и делал это.

В итоге я создал файлы в файловой системе в папке «customer_filters» и использовал модуль «imp», если ни один фильтр не применяется для этого клиента, он просто переносится на

import imp


def get_customer_module(customerName='default', name='filter'):
    lm = None
    try:
        module_name = customerName+"_"+name;
        m = imp.find_module(module_name, ['customer_filters'])
        lm = imp.load_module(module_name, m[0], m[1], m[2])
    except:
        ''
        #ignore, if no module is found, 
    return lm

m = get_customer_module(customerName, "filter")
if m is not None:
    m.apply_address_filter(myobj)

, поэтому customerName = "jj" выполнит apply_address_filter из файла customer_filters \ jj_filter.py

Избегайте exec и eval

Использование exec и eval в Python сильно недооценено.

Существуют лучшие альтернативы

Из главного ответа (выделено мной):

Для операторов используйте exec.

Когда вам нужно значение выражения, используйте eval.

Однако первым шагом должно стать спросить себя, действительно ли вам нужно. Исполняющий код обычно должен быть в крайнем случае: он медленный, уродливый и опасный, если он может содержать введенный пользователем код. Вы всегда должны сначала смотреть на альтернативы, такие как функции более высокого порядка, чтобы увидеть, могут ли они лучше соответствовать вашим потребностям.

Из Альтернативы exec / eval?

установить и получить значения переменных с именами в строках

[пока eval] будет работать, обычно не рекомендуется использовать имена переменных, имеющие значение для самой программы.

Вместо этого лучше использовать dict.

Это не идиоматический

Из http: //lucumr.pocoo

Python не является PHP

Не пытайтесь обойти Идиомы Python, потому что какой-то другой язык делает это по-другому. Пространства имен находятся в Python по какой-то причине, и только потому, что он дает вам инструмент exec, это не значит, что вы должны использовать этот инструмент.

Это опасно

From http://nedbatchelder.com/blog/201206/eval_really_is_dangerous.html (выделение мое)

Таким образом, eval небезопасен, даже если вы удалите все глобальные и встроенные функции!

Проблема со всеми этими попытками защитить eval () заключается в том, что они являются черными списками. Они явно удаляют вещи, которые могут быть опасными. Это проигравшая битва, потому что, если из списка осталось только один элемент, вы можете атаковать систему.

Итак, можно ли сделать eval безопасным? Сложно сказать. На этом этапе я думаю, что вы не можете навредить, если не можете использовать двойные подчеркивания, поэтому, возможно, если вы исключите любую строку с двойными подчеркиваниями, вы будете в безопасности. Может быть ...

Трудно читать и понимать

Из http://stupidpythonideas.blogspot.it/2013/05/why-evalexec -is-bad.html (акцент мой):

Во-первых, exec затрудняет чтение человеком вашего кода. Чтобы выяснить, что происходит, мне не нужно просто читать ваш код, я должен прочитать ваш код, выяснить, какую строку он будет генерировать, а затем прочитать этот виртуальный код. Итак, если вы работаете в команде или публикуете программное обеспечение с открытым исходным кодом или просите о помощи где-то вроде StackOverflow, вам становится труднее помочь другим людям. И если есть вероятность, что вы собираетесь отлаживать или расширять этот код через 6 месяцев, вам становится труднее для себя непосредственно.

Для операторов используйте exec(string) (Python 2/3) или exec string (Python 2):

>>> mycode = 'print "hello world"'
>>> exec(mycode)
Hello world

Когда вам нужно значение выражения, используйте eval(string) :

>>> x = eval("2+2")
>>> x
4

Однако первым шагом должно стать спросить себя, действительно ли вам нужно. Исполняющий код обычно должен быть в крайнем случае: он медленный, уродливый и опасный, если он может содержать введенный пользователем код. Вы всегда должны сначала взглянуть на альтернативы, такие как функции более высокого порядка, чтобы узнать, могут ли они лучше соответствовать вашим потребностям.

eval() предназначен только для выражений, а eval('x+1') работает, eval('x=1') не работает, например. В этом случае лучше использовать exec или даже лучше: попытайтесь найти лучшее решение:)

Наиболее логичным решением было бы использовать встроенную функцию eval () . Другое решение - записать эту строку во временный файл python и выполнить ее.

Помните, что из версии 3 exec является функцией! поэтому всегда используйте exec(mystring) вместо exec mystring.

Вы выполняете выполнение кода с помощью exec, как со следующим сеансом IDLE:

>>> kw = {}
>>> exec( "ret = 4" ) in kw
>>> kw['ret']

4

eval и exec являются правильным решением, и их можно использовать в режиме более безопасный .

Как обсуждалось в Справочное руководство Python и четко объяснил в этот учебник, функции eval и exec принимают два дополнительных параметра, которые позволяют пользователю указать, какие глобальные и локальные функции и переменные доступны.

Например:

public_variable = 10

private_variable = 2

def public_function():
    return "public information"

def private_function():
    return "super sensitive information"

# make a list of safe functions
safe_list = ['public_variable', 'public_function']
safe_dict = dict([ (k, locals().get(k, None)) for k in safe_list ])
# add any needed builtins back in
safe_dict['len'] = len

>>> eval("public_variable+2", {"__builtins__" : None }, safe_dict)
12

>>> eval("private_variable+2", {"__builtins__" : None }, safe_dict)
Traceback (most recent call last):
  File "<stdin>", line 1, in <module>
  File "<string>", line 1, in <module>
NameError: name 'private_variable' is not defined

>>> exec("print \"'%s' has %i characters\" % (public_function(), len(public_function()))", {"__builtins__" : None}, safe_dict)
'public information' has 18 characters

>>> exec("print \"'%s' has %i characters\" % (private_function(), len(private_function()))", {"__builtins__" : None}, safe_dict)
Traceback (most recent call last):
  File "<stdin>", line 1, in <module>
  File "<string>", line 1, in <module>
NameError: name 'private_function' is not defined

По сути вы определяете пространство имен, в котором будет выполняться код.