1

Eu possuo uma função que obtém uma conta e a calcula utilizando a função eval. A minha dúvida é, como posso ser mais cauteloso ao utilizar esta função ?

def calcula(string):
     if type(eval(string)) in [float, int]:
         resultado = eval(string)
         return resultado

conta = str(input('Digite a conta'))
# Ex: '5**2 + 0.5'          
calcula(conta)

Criei uma validação para a string no if. Isso é o suficiente para evitar que a entrada do usuário afete o programa ?

4
  • 2
    Não é fácil dar uma resposta para isso. Acho que ela seria bem longa. Em essência só estará seguro sanilizando o conteúdo digitado, o que é um processo bem complicado. Talvez tenha uma biblioteca que já faça isso. Se não fizer isso não está sendo cauteloso e todo tipo de problema de segurança pode ocorrer. Claro que em um exercício isso não é relevante, mas estará exercitando o jeito errado de fazer isso e aprenderá que o eval() é mocinho. pt.stackoverflow.com/q/128845/101. O ideal é aprender fazer do jeito certo ou não fazer o errado.
    – Maniero
    Commented 15/05/2020 às 4:37
  • 2
    Geralmente o problema do eval é quem usa. Se a função existe, tem uma razão, mas infelizmente não é usado certo praticamente nunca. O pessoal que defende muito eval sem critérios geralmente tem preguiça de programar, prefere "amontoar" código. Esse caso seu claramente não é caso de eval, até porque fazer um "conserto" pra deixar o eval seguro é mais crítico do que fazer o código certo sem eval (e nesse caso, fazer certo, é mais inteligente em todos os sentidos). Vide comentário na atual resposta aceita.
    – Largato
    Commented 15/05/2020 às 9:17
  • 1
    Relacionado: pt.stackoverflow.com/a/450398/112052
    – hkotsubo
    Commented 15/05/2020 às 10:50
  • 1
    @hkotsubo eu sabia que tinha a sua, não lembra que era tão recente e da mesma pessoa. È o mesmo caso de ter a esmagadora maioria de perguntas com query sofrendo de SQL Injection. As pessoas querem fazer o errado de qualquer jeito.
    – Maniero
    Commented 15/05/2020 às 12:02

2 Respostas 2

3

Assim como o Maniero falou nos comentários da questão, uma resposta para como ser cauteloso ao utilizar a função eval seria muito longa.

Mas agora focando na sua tarefa e assumindo que você não está sendo tão exigente com a segurança do seu código, a sua validação não é nem um pouco segura.

Isso porque já na validação, você executa na função eval a entrada do usuário para obter o tipo do retorno da função. No final das contas, o seu programa já terá executado a entrada validando ou não o que o usuário inseriu.

Uma solução bastante simples para seu problema, é verificar cada caractere da string para saber se há algum caractere indesejado que possa significar uma entrada que afete o seu programa.

def calculate(expression):
    allowed_chars = "*-+/()1234567890 "

    for char in expression:
        if not char in allowed_chars:
            return "O caractere %s não é válido." % char

    return eval(expression)
1
  • 4
    Ficou boa e simples a solução paro que foi perguntado, mas ainda assim considero uma gambiarra danada (não é culpa sua, é o que foi perguntado). Não é uma solução escalável, inclusive, pois se o autor precisar amanha ou depois aceitar algumas funções (raiz quadrada, arredondamento, etc) , já vai ter que permitir uma série de caracteres a mais, e assim vai "cavando a cova" para deixar passar algo danoso. Só deixei o comentário pra quem vier futuramente pesquisar a mesma coisa já estar "avisado".
    – Largato
    Commented 15/05/2020 às 9:25
-4

Não, o if não é suficiente, experimenta com o try except

def calcula(string):
       try:
           resultado = eval(string)
           return resultado
       except Exception:
           print("Não é uma operação válida")

Você deve fazer log-in para responder a esta pergunta.

Esta não é a resposta que você está procurando? Pesquise outras perguntas com a tag .