Pythonでユーザが入力した式を安全に実行できるようにする方法の検討

:::note alert
`eval`, `exec` は十分に対策したつもりでも危険が残ります。あくまで参考としてください。

この記事の方式を採用したことによる損害や不利益に対して私は責任を負わず、保障しません。
:::

Python には他のスクリプト言語と同様に、文字列として与えた式や文をソースコードとして実行する機能 (`eval()`, `exec()`) があります。この機能をうまく使えればユーザに任意のプログラムを入力させられるので、柔軟性に富んだアプリケーションを作成できそうですが、想定していないプログラムをも実行可能にする脆弱性を生みかねません。そこで、ユーザにプログラムを入力させつつ望まない動作を禁止して安全なアプリケーションにするための方法を検討します。

:::note warn
この記事では目的のために `eval()` や `exec()` が必要であることを前提にしています。実際にプロダクトを作る際は、`ast.literal_eval()` などのより安全な方法で実現できないかをまず検討しましょう。
:::

# 結論

- `eval`, `exec` の第二引数 `globals` には `{"__builtins__":{ここに許可するビルトイン関数・変数}, ここに許可するその他の関数・変数}` を指定し、第三引数 `locals` には `{ここに許可するその他の関数・変数}` を指定する。
- 上記「許可する関数・変数」に、副作用がある関数は含めない
- あらゆる例外が発生しうることを前提に、必要であればキャッチする


# 前提

- Python 3.13


# 脆弱性の例

たとえば、次のコードではユーザがブラウザ（フロントエンド）で入力した文字列が式としてバックエンドで実行されます。

:::note alert
下記のコードはHTTPアクセスできる任意の人間がシステムを破壊できる脆弱性を含んでいます。

この記事のコードを実行したことによる損害や不利益に対して私は責任を負わず、保障しません。
:::

```python:app.py　例：安全でない動的コード実行（試す際は自己責任で）
from flask import Flask, request
import os
import pandas as pd

app = Flask(__name__)

# http://○○○/point?code=○○ へのアクセスを受けたとき、○○を式として実行する
@app.route("/point")
def point():
    math = 90  # 数学の点数
    english = 50  # 英語の点数
    science = 60  # 理科の点数
    code = request.args.get("code")
    point = eval(code)  # code の通りに総合得点を計算
    
    return {"point": point}
```

このアプリは python コードで書けるあらゆる数式を指定して総合得点を算出できるようになっています。たとえば、code が `"2*english + math + science"` であれば、point は英語を2重に足した合計点である `250` になります。ほかにも割り算、`max()` などを使えて便利そうなうえに、それらをユーザに自由に組成させる機能はPythonの文法解析・関数を流用して省力で実装できたので、とても頭の良い方法に見えます。

しかし、このWEBアプリは何も警戒・対策せずに受け取ったコードを実行しているので、システムに干渉するコードをも実行できる脆弱性を持ちます。たとえば、次のような攻撃が可能です。
- `code="os.mkdir('abc')"` であれば (`os` をインポートしているので) サーバ内に `abc` という名前のディレクトリが作成されます
- `code="open('/home/user/.ssh/id_rsa', mode='w')"` であれば、秘密鍵が削除されます (ユーザ名やファイル名がわからなくても何度でもチャレンジできるので、総当たり攻撃が成立します)
- `code="open('/home/user/.ssh/id_rsa', mode='r').readlines()"` であれば秘密鍵の内容を見ることができます。(上と同じく、ユーザ名やファイル名は総当たり攻撃)

これらは設計段階で想定していない、大きな力をユーザに与えてしまっていて、場合によっては情報の窃取や破壊も可能な致命的な脆弱性になりえます。

このような問題を回避しつつ、Pythonの文法解析や関数を流用する方針は維持することで、柔軟で高度な動作を簡単に実現することがこの記事の目的となります。

# 根本原因と対処方法

先述の例の脆弱性の原因は、使える関数や機能を制限していないことにあります。先述の例も含めて、制限を加えない場合は以下の機能が使用可能になってしまいます。

- [ビルトインの関数](https://docs.python.org/ja/3.13/library/functions.html)・[変数](https://docs.python.org/ja/3.13/library/constants.html)等
    - 例: `open()`, `exit()`
- app.py でインポートしたモジュール等
    - 例: `os`, `Flask`, `request`
- app.py で定義した関数・変数等
    - 例: `app`
- (`exec` で) `import`, `class`
- 例外の発生

これにより、目的よりはるかに大きな権能をユーザに与える結果となりました。そのため、上にあげたような関数等を使用できないようにすることを考え、次の3つの対策を取ります。

## 対処①　スコープの明示

実は `exec()` や `eval()` には、使える関数等を指定する機能がすでに備わっています。先述の例ではそれを指定しなかったのでデフォルト通り、`eval()` を実行する時点で使えるすべての関数等が使用可能になってしまったのです。

最も使える関数等を減らすと、次のようになります。

```python
def_globals = {
    "__builtins__": {},
}
def_locals = {}
eval(code, def_globals, def_locals)
```

`eval()` や `exec()` には、第二引数としてグローバルスコープに定義された関数等、第三引数としてローカルスコープに定義された関数等を辞書 (ローカルの方はMappingなら非辞書でもよい) で指定できます。そのため、そこで空の辞書を指定することで何も定義していない状態でコードを実行できます。

ただし、ビルトインの関数・変数等についてはデフォルトで使用可能になってしまうため、注意が必要です。ビルトインの機能を制限するには、「ビルトインとしてはこの辞書の中身だけを使って」という明示的な指定として `"__builtins__": 辞書` の指定が必要になります。

あとは、必要に応じて関数や変数をスコープに追加していくことになります。どの関数なら使用可能にして問題ないかは後述しますが、たとえば以下のようになります。

```python:例：安全な動的コード実行
def_globals = {
    "__builtins__": {
        "min": min,
        "max": max,
    },
}
def_locals = {
    "math": 90,
    "english": 50,
    "science": 60,
}
eval(code, def_globals, def_locals)
```

:::note warn
実行する `code` によっては、新たに変数が宣言されることで `def_globals` や `def_locals` の内容が更新されます。その影響を引き継ぎたくない場合、`eval` や `exec` の引数とする辞書を毎回生成するようにしてください。
:::

ちなみに、この措置でビルトイン関数を原則禁止することによって `class` と `import` も禁止できます。なぜなら、これらは内部でビルトイン関数の `__build_class__()` と `__import__()` を使用するためです。

## 対処②　例外を捕捉する

ユーザが式や文を自由に入力できる場合、例外はたやすく起こせます。`exec` でありかつスコープの制限をしていなければ任意のビルトイン例外を直接 `raise` できますし、制限があってもたとえば `code="'a'>1"` なら異なる型の大小比較なので `TypeError` が発生します。そのため、基本的にはあらゆる例外が想定されることを前提としたコーディングが必要になります。

たとえば、上述の例ではキャッチしない場合は 500 エラーになるだけなので、それでよければキャッチは不要ですが、[400 エラー (Bad Request)](https://developer.mozilla.org/ja/docs/Web/HTTP/Reference/Status/400) にしたいのであれば下記のように `try-except` で囲みます。

```python
try:
    eval(code, def_globals, def_locals)
except Exception:
    abort(400)
```

## 対処③　構文解析をして最低限のノード以外があったらエラーとする

これだけの対策をしても、下記の記事の通りビルトイン機能や他のモジュールを使用できてしまう抜け穴があります。

https://qiita.com/tkmz/items/717d524083b71a4af75f

そこで、`ast` モジュールを用いた構文解析を実施し、不要なはずのノードがあれば例外を発して拒絶するようにします。

たとえば、次のようなコードになります。

```python
import ast

def validate_code(value: ast.AST):
    """value の内容をチェックする (問題があれば validate_code() 内で例外を投げる)"""

    if isinstance(value, ast.Module):
        for node in value.body:
            validate_code(node)
        return
    elif isinstance(value, ast.Expression):
        validate_code(value.body)
        return
    elif isinstance(value, ast.BinOp):
        # 二項演算は許可する
        validate_code(value.left)
        validate_code(value.right)
        return
    elif isinstance(value, ast.Call):
        if isinstance(value.func, ast.Name) and value.func.id in ("min", "max"):
            # 関数 min, max の呼び出しは許可する
            for arg in value.args:
                validate_code(arg)
            for kw in value.keywords:
                validate_code(kw.value)
            return
    elif isinstance(value, (ast.Name, ast.Constant)):
        # 変数や関数等の参照と、定数の参照は許可する
        return

    raise ValueError(f"Unexpected syntax node: {value}")

# コードを抽象構文木 (AST) に変換
parsed_code = ast.parse(code, mode="eval")
# 抽象構文木 (AST) をチェック
validate_code(parsed_code)
# 抽象構文木をコンパイルして実行可能にする
compiled = compile(parsed_code, "<code>", "eval")
# コードを実行する
result = eval(compiled, def_globals, def_locals)
```

:::note warn
`ast.parse` や `compile` の引数の `"eval"` は、コード実行の関数に合わせます。つまり、`exec()` で実行するつもりであれば `ast.parse` や `compile` の引数は `"exec"` にします。
:::

この例では特定の要素以外をすべて禁止していて、禁止する要素を含むコードだった場合、コードが実行される前に例外を発して終了します。特に `min` と `max` 以外の関数を禁止していますし、属性参照 (`obj.attr` のドット) も禁止しているため、ほとんどの動作ができなくなっています。そのおかげで、先述の記事の抜け穴も防止できています。

※ 単項演算子 `-` など数値計算に使いそうな機能も制限しているため、検討の余地あり

# 使用可能にする関数等の選定

ここからは対処①をより具体的に検討します。関数等を制限し、こちらが許可したものだけを使用可能にしましょう。そのために、どの関数等を使用可とするかを選定します。

## 基準

悪影響がなさそうな関数等だけを許可するというのがやりたいことですが、漠然としていて判定しづらいので、指標としては**副作用がない関数を許可する**方針とするとよいかと思います。また、それを順守するため**モジュール丸ごとはNG**です（モジュール内のすべてを熟知していれば別ですが、将来のアップデートまで加味すると現実的でないと思うので）。これらを守ることで、想定外の動作を防ぎます。

## 許可・禁止候補の一覧

ビルトインの関数等については下記にまとめたので、参考にどうぞ。

:::note alert
下記の表で採用可となっていても、採用は自己責任で判断してください。
:::

:::note warn
下記の表で採用可となっていても、必要ない関数等は不採用にすることをおすすめします。勘違いによる脆弱性の作りこみを防止するためです。
:::

| 名称 | 機能 | 副作用 | 採用可 | 危険性・補足 |
|:--|:--|:--:|:--:|:--|
| `__build_class__` | クラス作成 | － | × | 無限イテレータ、重い `__str__` など他の関数と組み合わせることで凶悪になるクラスを作れるためNG。他の行もカスタムクラスを作成できないことを前提に採用可・不可を評価している。 |
| [`__import__`](https://docs.python.org/ja/3.13/library/functions.html#import__) | モジュールインポート | － | × | インポートを許すと `os` を含めなんでも使用できてしまうのでNG |
| [`abs`](https://docs.python.org/ja/3.13/library/functions.html#abs) | 絶対値 | 無し | ○ | |
| [`all`](https://docs.python.org/ja/3.13/library/functions.html#all) | `and` の関数版 | 無し | ○ | |
| [`any`](https://docs.python.org/ja/3.13/library/functions.html#any) | `or` の関数版 | 無し | ○ | |
| [`ascii`](https://docs.python.org/ja/3.13/library/functions.html#ascii) | `repr` + ASCII化 | 無し | ○ | |
| [`bin`](https://docs.python.org/ja/3.13/library/functions.html#bin) | 二進表記 | 無し | ○ | |
| [`breakpoint`](https://docs.python.org/ja/3.13/library/functions.html#breakpoint) | デバッガ起動 | あり | × | |
| [`callable`](https://docs.python.org/ja/3.13/library/functions.html#callable) | 呼び出し可否判定 | 無し | ○ |  |
| [`chr`](https://docs.python.org/ja/3.13/library/functions.html#chr) | １文字のデコード | 無し | ○ |  |
| [`compile`](https://docs.python.org/ja/3.13/library/functions.html#compile) | コードコンパイル | 無し | △ | 現状、関数自体も戻り値のインスタンスのメソッドも副作用はないと思われるが、将来は不明。目的がないなら不採用がよさそう。 |
| [`delattr`](https://docs.python.org/ja/3.13/library/functions.html#delattr) | 属性削除 | あり | × | `exec`, `eval` の外と共有のインスタンスがある場合、その属性が削除されると影響が出る。無い場合でも `delattr` を使わせたいことはないと思われるため不採用でよさそう。 |
| [`dir`](https://docs.python.org/ja/3.13/library/functions.html#dir) | 属性取得 | 無し | ○ | |
| [`divmod`](https://docs.python.org/ja/3.13/library/functions.html#divmod) | 余りがある除算 | 無し | ○ | |
| [`eval`](https://docs.python.org/ja/3.13/library/functions.html#eval) | コード実行 | あり | × | スコープは引き継ぐので許可していないコードを実行される心配はないと思われるが、メリットが無いため不採用。 |
| [`exec`](https://docs.python.org/ja/3.13/library/functions.html#exec) | コード実行 | あり | × | スコープは引き継ぐので許可していないコードを実行される心配はないと思われるが、メリットが無いため不採用。 |
| [`format`](https://docs.python.org/ja/3.13/library/functions.html#format) | 文字列生成 | 無し | ○ | |
| [`getattr`](https://docs.python.org/ja/3.13/library/functions.html#getattr) | 属性値取得 | 無し | ○ | |
| [`globals`](https://docs.python.org/ja/3.13/library/functions.html#globals) | スコープ取得 | 無し | ○ | |
| [`hasattr`](https://docs.python.org/ja/3.13/library/functions.html#hasattr) | 属性の有無の判定 | 無し | ○ | |
| [`hash`](https://docs.python.org/ja/3.13/library/functions.html#hash) | ハッシュ化 | 無し | ○ | |
| [`hex`](https://docs.python.org/ja/3.13/library/functions.html#hex) | 16進表記 | 無し | ○ | |
| [`id`](https://docs.python.org/ja/3.13/library/functions.html#id) | オブジェクトid取得 | 無し | ○ | |
| [`input`](https://docs.python.org/ja/3.13/library/functions.html#input) | 標準入力の使用 | あり | △ | ユーザが標準入力を使えるなら、採用もあり。逆に `input()` 実行でスタックする恐れがあるなら不採用。
| [`isinstance`](https://docs.python.org/ja/3.13/library/functions.html#isinstance) | 型の判定 | 無し | ○ | |
| [`issubclass`](https://docs.python.org/ja/3.13/library/functions.html#issubclass) | 型継承の判定 | 無し | ○ | |
| [`iter`](https://docs.python.org/ja/3.13/library/functions.html#iter) | イテレータ作成 | 無し | ○ | |
| [`aiter`](https://docs.python.org/ja/3.13/library/functions.html#aiter) | イテレータ作成 | 無し | ○ | |
| [`len`](https://docs.python.org/ja/3.13/library/functions.html#len) | リスト長 | 無し | ○ | |
| [`locals`](https://docs.python.org/ja/3.13/library/functions.html#locals) | スコープ取得 | 無し | ○ | |
| [`max`](https://docs.python.org/ja/3.13/library/functions.html#max) | 最大値 | 無し | ○ | |
| [`min`](https://docs.python.org/ja/3.13/library/functions.html#min) | 最小値 | 無し | ○ | |
| [`next`](https://docs.python.org/ja/3.13/library/functions.html#next) | イテレート | 無し | ○ | |
| [`anext`](https://docs.python.org/ja/3.13/library/functions.html#anext) | イテレート | 無し | ○ | |
| [`oct`](https://docs.python.org/ja/3.13/library/functions.html#oct) | 8進表記 | 無し | ○ | |
| [`ord`](https://docs.python.org/ja/3.13/library/functions.html#ord) | １文字のエンコード | 無し | ○ |  |
| [`pow`](https://docs.python.org/ja/3.13/library/functions.html#pow) | べき乗 | 無し | ○ | |
| [`print`](https://docs.python.org/ja/3.13/library/functions.html#print) | テキスト出力 | あり | △ | ユーザが標準出力・標準エラー出力を使えるなら、採用もあり。
| [`repr`](https://docs.python.org/ja/3.13/library/functions.html#repr) | 文字列化 | 無し | ○ | |
| [`round`](https://docs.python.org/ja/3.13/library/functions.html#round) | 丸め | 無し | ○ | |
| [`setattr`](https://docs.python.org/ja/3.13/library/functions.html#setattr) | 属性値の設定 | あり | × | `exec`, `eval` の外と共有のインスタンスがある場合、その属性が編集されると影響が出る。無い場合でも `setattr` を使わせたいことはないと思われるため不採用でよさそう。 |
| [`sorted`](https://docs.python.org/ja/3.13/library/functions.html#sorted) | ソート | 無し | ○ | |
| [`sum`](https://docs.python.org/ja/3.13/library/functions.html#sum) | 合計 | 無し | ○ | |
| [`vars`](https://docs.python.org/ja/3.13/library/functions.html#vars) | 属性取得 | 無し | ○ | |
| [`None`](https://docs.python.org/ja/3.13/library/constants.html#None) | 定数 | － | － | `__builtins__` に含めなくても使用可 |
| [`Ellipsis`](https://docs.python.org/ja/3.13/library/constants.html#Ellipsis) | 定数 | － | － | `__builtins__` に含めなくても使用可 |
| [`NotImplemented`](https://docs.python.org/ja/3.13/library/constants.html#NotImplemented) | 定数 | － | ○ | |
| [`False`](https://docs.python.org/ja/3.13/library/constants.html#False) | 定数 | － | － | `__builtins__` に含めなくても使用可 |
| [`True`](https://docs.python.org/ja/3.13/library/constants.html#True) | 定数 | － | － | `__builtins__` に含めなくても使用可 |
| [`bool`](https://docs.python.org/ja/3.13/library/functions.html#bool) | 型 | － | ○ | |
| [`memoryview`](https://docs.python.org/ja/3.13/library/functions.html#func-memoryview) | 内部データアクセス | あり | × | メモリ操作は意図しない操作が可能になりがち |
| [`bytearray`](https://docs.python.org/ja/3.13/library/functions.html#func-bytearray) | 型 | － | ○ | |
| [`bytes`](https://docs.python.org/ja/3.13/library/functions.html#func-bytes) | 型 | － | ○ | |
| [`classmethod`](https://docs.python.org/ja/3.13/library/functions.html#classmethod) | デコレータ | － | × | クラス作成を許さないため不要 |
| [`complex`](https://docs.python.org/ja/3.13/library/functions.html#complex) | 型 | － | ○ | |
| [`dict`](https://docs.python.org/ja/3.13/library/functions.html#func-dict) | 型 | － | ○ | |
| [`enumerate`](https://docs.python.org/ja/3.13/library/functions.html#enumerate) | イテレータ | 無し | ○ | |
| [`filter`](https://docs.python.org/ja/3.13/library/functions.html#filter) | イテレータ | 無し | ○ | |
| [`float`](https://docs.python.org/ja/3.13/library/functions.html#float) | 型 | － | ○ | |
| [`frozenset`](https://docs.python.org/ja/3.13/library/functions.html#func-frozenset) | 型 | － | ○ | |
| [`property`](https://docs.python.org/ja/3.13/library/functions.html#property) | デコレータ | － | × | クラス作成を許さないため不要 |
| [`int`](https://docs.python.org/ja/3.13/library/functions.html#int) | 型 | － | ○ | |
| [`list`](https://docs.python.org/ja/3.13/library/functions.html#func-list) | 型 | － | ○ | |
| [`map`](https://docs.python.org/ja/3.13/library/functions.html#map) | イテレータ | 無し | ○ | |
| [`object`](https://docs.python.org/ja/3.13/library/functions.html#object) | 型 | － | ○ | |
| [`range`](https://docs.python.org/ja/3.13/library/functions.html#func-range) | イテレータ | 無し | ○ | |
| [`reversed`](https://docs.python.org/ja/3.13/library/functions.html#reversed) | イテレータ | 無し | ○ | |
| [`set`](https://docs.python.org/ja/3.13/library/functions.html#func-set) | 型 | － | ○ | |
| [`slice`](https://docs.python.org/ja/3.13/library/functions.html#slice) | 型 | － | ○ | |
| [`staticmethod`](https://docs.python.org/ja/3.13/library/functions.html#staticmethod) | デコレータ | － | × | クラス作成を許さないため不要 |
| [`str`](https://docs.python.org/ja/3.13/library/functions.html#str) | 型 | － | ○ | |
| [`super`](https://docs.python.org/ja/3.13/library/functions.html#super) | 親クラスメソッド | － | ○ | |
| [`tuple`](https://docs.python.org/ja/3.13/library/functions.html#tuple) | 型 | － | ○ | |
| [`type`](https://docs.python.org/ja/3.13/library/functions.html#type) | 型 | － | ○ | |
| [`zip`](https://docs.python.org/ja/3.13/library/functions.html#zip) | イテレータ | 無し | ○ | |
| [`__debug__`](https://docs.python.org/ja/3.13/library/constants.html#debug__) | 定数 | － | － | `__builtins__` に含めなくても使用可 |
| [`open`](https://docs.python.org/ja/3.13/library/functions.html#open) | ファイルオープン | あり | × | (プロセスのユーザ権限の中で) 任意のファイルを操作できてしまう |
| [`quit`](https://docs.python.org/ja/3.13/library/constants.html#quit) | 終了 | あり | × | プロセスを終了させられてしまう |
| [`exit`](https://docs.python.org/ja/3.13/library/constants.html#exit) | 終了 | あり | × | プロセスを終了させられてしまう |
| [`copyright`](https://docs.python.org/ja/3.13/library/constants.html#copyright) | 著作権表示 | 無し| ○ | |
| [`credits`](https://docs.python.org/ja/3.13/library/constants.html#credits) | クレジット表示 | 無し| ○ | |
| [`license`](https://docs.python.org/ja/3.13/library/constants.html#license) | ライセンス表示 | あり| × | 単なる出力ではなくページャになり、スタックの恐れがあるため |
| [`help`](https://docs.python.org/ja/3.13/library/functions.html#help) | 対話ヘルプ | あり | × | 対話モードに入り、スタックの恐れがあるため |

# 修正したコード例

上述の方針で、冒頭のコードを書き直したものが次のコードです。

```python
from flask import Flask, abort, request
import ast
import os
import pandas as pd

app = Flask(__name__)


def validate_code(value: ast.AST):
    """value の内容をチェックする (問題があれば validate_code() 内で例外を投げる)"""
    
    if isinstance(value, ast.Module):
        for node in value.body:
            validate_code(node)
        return
    elif isinstance(value, ast.Expression):
        validate_code(value.body)
        return
    elif isinstance(value, ast.BinOp):
        return
    elif isinstance(value, ast.Call):
        if isinstance(value.func, ast.Name) and value.func.id in ("min", "max"):
            return
    elif isinstance(value, (ast.Name, ast.Constant)):
        return

    raise ValueError(f"Unexpected syntax node: {value}")


# http://○○○/point?code=○○ へのアクセスを受けたとき、○○を式として実行する
@app.route("/point")
def point():
    # コードの内容次第では実行時に def_globals, def_locals の内容が更新されるため、
    # 前回のコード実行を引き継がないように毎回 def_globals, def_locals を作成する。
    def_globals = {
        "__builtins__": {
            "min": min,
            "max": max,
        },
    }
    def_locals = {
        "math": 90,
        "english": 50,
        "science": 60,
    }
    
    code = request.args.get("code")

    try:
        # code の通りに総合得点を計算
        parsed_code = ast.parse(code, mode="eval")
        validate_code(parsed_code)
        compiled = compile(parsed_code, "<code>", "eval")
        point = eval(compiled, def_globals, def_locals)
    except Exception:
        abort(400)
    
    return {"point": point}
```
:::note alert
（再掲）`eval`, `exec` は十分に対策したつもりでも危険が残ります。あくまで参考としてください。

この記事の方式を採用したことによる損害や不利益に対して私は責任を負わず、保障しません。
:::