Tkinter如何不使用eval()在运行时动态设置Button的command属性

核心逻辑很简单：Python中函数、方法本身是一等对象，可以直接作为参数传递，eval()不仅不规范，还存在任意代码执行的安全风险，完全可以用更安全的原生方案替代。

最推荐的实现方式 #

直接传递可调用的方法对象，不要传递方法名字符串：

• Tkinter的command参数仅需要接收一个无入参的可调用对象，点击按钮时会自动触发该对象
• 传参时不要给方法加调用括号()，加括号会在创建按钮时直接执行方法，把执行结果（通常是None）绑定给command，这也是很多人普通传参失败的核心原因

修正后的可运行代码：

from tkinter import Tk, Frame, Button

root = Tk()
root.title("SOP")
root.geometry("1920x1080")

class CreateGui(object):
    def __init__(self, master):
        self.master = master
        myFrame = Frame(master)
        myFrame.pack()

    def CreateButton(self, lines, target):
        self.myButton = Button(self.master, text=lines, command=target)
        self.myButton.pack(pady=20)

    def clicker(self):
        print("you clicked a button")

GUI = CreateGui(root)
# 直接传入绑定到实例的方法引用，不需要转成字符串
GUI.CreateButton("Click Me!", GUI.clicker)

root.mainloop()

如果必须传入方法名字符串的场景 #

如果你的业务逻辑要求必须传字符串（比如从配置文件读取按钮配置、动态生成按钮映射），不要用eval()，用Python内置的getattr()方法从实例上动态获取对应方法即可，安全无注入风险：

from tkinter import Tk, Frame, Button

root = Tk()
root.title("SOP")
root.geometry("1920x1080")

class CreateGui(object):
    def __init__(self, master):
        self.master = master
        myFrame = Frame(master)
        myFrame.pack()

    def CreateButton(self, lines, target_str):
        # 从当前实例属性中匹配对应名称的方法，匹配失败会抛出明确的AttributeError
        cmd = getattr(self, target_str)
        self.myButton = Button(self.master, text=lines, command=cmd)
        self.myButton.pack(pady=20)

    def clicker(self):
        print("you clicked a button")

GUI = CreateGui(root)
# 仅需传入方法名即可，不需要带self.前缀
GUI.CreateButton("Click Me!", "clicker")

root.mainloop()

带参数的回调传参方式 #

如果点击回调需要传入自定义参数，用lambda表达式包一层无参调用即可，不需要字符串拼接或者eval：

# 示例：给回调方法传入自定义参数
def CreateButton(self, lines, target, *args):
    self.myButton = Button(self.master, text=lines, command=lambda: target(*args))
    self.myButton.pack(pady=20)

内容的提问来源于stack exchange，提问作者Bertie