Что делает метод eval python?

Метод eval в Python выполняет строку, переданную ему в качестве аргумента, как выражение на языке Python и возвращает результат выполнения.

x = 1
y = 2
result = eval("x + y")
print(result)
# Вывод: 3

Внимание: Использование eval может быть опасным, так как позволяет выполнять произвольный код, что может привести к уязвимостям в безопасности.

Функция eval() анализирует переданную ей строку и если строка окажется кодом, то он будет выполнен:

x = 'print(55)'

eval(x) # => 55

x = '4 + 7'

print(eval(x)) # => 11

x = '2 > 11'

print(eval(x)) # => False

Но стоит с большой осторожностью пользоваться этой функцией и уж точно ни в коем случае нельзя передавать ей данные, которые может ввести пользователь. Функция eval() выполнит любой код, который сможет распознать и если, допустим, ей передать строку rm -rf /, то корневая директория (если говорим о Linux) будет удалена без всяких вопросов и предостережений. Поэтому следует помнить о том, что пользоваться этой функцией надо с осторожностью и не предоставлять ей данные, вводимые пользователем.

eval() принимает строку, выполняет её как выражение Python и возвращает результат.

print(eval("2 + 3 * 4"))         # => 14
x = 10
print(eval("x > 5"))             # => True
print(eval("[i * 2 for i in range(3)]"))  # => [0, 2, 4]

eval() работает только с выражениями. Инструкции вроде присваивания или import вызовут SyntaxError, для них есть exec():

exec("y = 5")
print(y)  # => 5

Почему eval() опасен

eval() выполнит любой код, который придёт в строке. Если строка пришла от пользователя, он может удалить файлы или прочитать секреты:

eval("__import__('os').getcwd()")  # выполнится как обычный код

Поэтому eval() не применяют к данным из формы, файла или сети.

Чем заменить

Превратить строку в число, список или словарь безопасно помогает ast.literal_eval(). Он понимает только литералы и не выполняет код:

import ast

print(ast.literal_eval("[1, 2, 3]"))          # => [1, 2, 3]
print(ast.literal_eval("{'a': 1}"))           # => {'a': 1}
ast.literal_eval("__import__('os')")          # ValueError

Для чисел хватает int() и float(), для JSON — json.loads().

Функции и работу со строками разбирают в бесплатном курсе «Основы Python».