如何规范定义变量约束并实现isgood表达式校验方法？

基础isgood方法实现 #

如果你能保证约束字符串都是可控的、没有外部不可信输入，最简单的实现方式是基于Python的eval：

def isgood(vars_dict: dict, constraint: str) -> bool:
    # 第二个参数传空dict禁用全局命名空间，降低注入风险
    return eval(constraint, {}, vars_dict)

注意：该方法仅适合约束由你自己编写的内部场景，如果约束来自用户输入等不可信来源，绝对不要直接用eval，会有严重的代码注入漏洞

常见的变量约束定义方式 #

除了你现在用的字符串列表方案，还有几种更适合不同场景的约束定义方式：

• 可调用对象（lambda/普通函数）：最安全的原生方案，不需要解析字符串，完全规避注入风险：

  # 示例约束定义
  constraint1 = lambda vars: 2 * vars['a'] != vars['b']
  constraint2 = lambda vars: 2 * vars['a'] != vars['b'] and vars['a'] + 1 == 3
  
  # 直接调用校验，效果和你的isgood完全一致
  >>> constraint1({'a': 1, 'b': 3})
  True
  >>> constraint2({'a': 1, 'b': 3})
  False
  

  该方案的缺点是可调用对象无法直接序列化存储到数据库、配置文件中，仅适合规则固定在代码里的场景。
• 结构化规则配置：如果需要把约束存储到外部介质，可以把规则拆成可序列化的JSON结构，比如：

  {
    "op": "and",
    "conditions": [
      {"expr": "2*a", "cmp": "!=", "target": "b"},
      {"expr": "a+1", "cmp": "==", "target": 3}
    ]
  }
  

  你只需要自行实现一个简单的解析函数处理这类结构即可，既支持动态配置，也没有注入风险，是生产环境的常用方案。
• 第三方校验库规则：如果有大量复杂的类型、值约束，可以直接用Pydantic、Voluptuous这类成熟的校验库定义Schema，不需要自己造轮子，适合复杂业务校验场景。

内容的提问来源于stack exchange，提问作者somenxavier