转载

编写高质量代码--改善python程序的建议（三）

原文发表在我的博客主页，转载请注明出处！

建议十三：警惕eval()的安全漏洞

相信经常处理文本数据的同学对eval()一定是欲罢不能，他的使用非常简单：

eval("1+1==2")                                 #进行判断 eval("'A'+'B'")                                #字符连接 eval("1+2")                                    #数字相加

python中eval()函数将字符串str当成有效的表达式来求值并返回计算结果，其函数声明如下：

eval(expression[, globals[,locals]]) #globals为字典形式，表示全局命名空间 #locals为任何映射对象，表示局部命名空间

“eval is evil”，这时一句广为人知的对eval的评价，它主要针对的是eval()的安全性。假设web页面调用eval来根据用户的输入，计算python表达式的值，由于网络环境下运行它的用户并非都是可信任的，eval()可以将任何字符串当作表达式求值，这也就意味着有空子可钻，如果用户输入下面代码，就会得到当前目录下的所有文件列表。

__import__("os").system("dir")

如果有人想搞破坏，他输入了如下字符串（禁止尝试），则会删掉当前目录下的所有文件

__import__("os").system("del * /Q")

当然有人说可以在globals参数中禁止全局命名空间的访问，比如将运算范围限定为几个常用的数学函数：

math_fun_list = ['acos', 'asin', 'atan', 'pi'] math_fun_dict = dict([(k, globals().get(k) for k in math_fun_list)]) eval(string, {"__builtins__":None}, math_fun_dict)

这样确实解决了安全问题，但是试试输入以下字符：

[c for c in ().__class__.__bases__[0].__subclasses__() if c.__name__ == 'Quitter'][0](0)() # ().__class__.__bases__[0].__subclasses__()显示object类的所有子类，类Quitter与“quite”功能绑定，因此上面的输入会直接导致程序退出。

因此在实际应用过程中，如果使用对象不是信任源，应该尽量避免使用eval,在需要使用eval的地方可以用安全性更好的ast.literal_eval替代。

建议十四：使用enumerate()获取序列迭代的索引和值

函数enumerate()主要是为了解决在循环中获取索引以及对应值的问题，它具有一定的惰性，每次仅在需要的时候才会产生一个（index,item）对。使用如下：

enumerate(sequence, start=0) #sequence可以是list、 set等任何迭代对象 #默认从0开始 #函数返回一个迭代器，可以使用next()方法获取下一个元素

建议十五：分清 == 与 is 的使用场景

is 表示的是对象标识符（object identity），即比较两个对象在内存中是否拥有同一块内存空间，而 == 表示的意思是相等（equal）,用来检验两个对象的值是否相等。

还有需要注意的是，在python中有string interning(字符串驻留)机制：对于较小的字符串，为了提高系统性能会保留其值的一个副本，当创建新的字符串的时候直接指向该副本即可。而长字符串不会驻留。

建议十六：考虑兼容性，尽可能使用Unicode

python内建的字符串有两种类型：str和Unicode,它们拥有共同的祖先basestring。

Unicode也称做万国码，它为每种语言设定了唯一的二进制编码表示方式，提供从数字代码到不同语言字符集之间的映射，从而可以满足跨平台、夸语言之间的文本处理要求。

Unicode编码系统可以分为编码方式和实现方式两个层面，在编码方式上，分为UCS-2和UCS-4两种方式，UCS-2用两个字节编码，UCS-4用4个字节编码。一个字符的Unicode编码是确定的，但是在实际传输过程中，由于系统平台的不同以及处于节省空间的目的，实现方式有所差异。Unicode的实现方式称为Unicode转换格式，简称为UTF，包括UTF-7、UTF-16、UTF-32、UTF-8等，较为常见的是UTF-8.他的特点是对不同范围的字符使用不同长度的编码，其中0x00 ~ 0x7F的字符的UTF-8编码与ASCII编码完全相同，UTF-8编码的最大长度是4个字节。

通常用python处理中文字符经常会遇见一下几个问题。

读出文件的内容显示为乱码
```
fp = open("test.txt","r") print fp.read() fp.close()
```
问题：读入的文件test.txt用UTF-8编码形式保存，但是Windows的本地默认编码是CP936，在Windows系统中它被映射为GBK编码，所以直接显示UTF-8字符的时候，不兼容。解决办法：首先对读入的字符用UTF-8进行解码，然后再用GBK进行编码。
```
fp = open("test.txt","r") print (fp.read().decode("utf-8")).encode("gbk")
```
decode()方法讲其他编码对应的字符串解码为Unicode，而encode()方法将Unicode编码转换为另一种编码。另外：上面的例子在某些情况下（如test.txt使用Notepad软件以UTF-8编码形式保存）可能还会出现异常，这是因为有些软件在保存UTF-8编码的时候，会在文件最开始的地方插入不可见的字符BOM，利用codecs模块可以方便地处理这种问题
```
import codecs fp = open("test.txt",'r') content = fp.read() fp.close() if content[:3] == codecs.BOM_UTF8: content = content[3:] print content.decode("utf-8")
```
当python源文件中包含中文字符的时候抛出SyntaxError异常python中默认的编码是ASCII编码，为了让接收器知道如何正确处理字符，需要在源文件中进行编码声明，声明可以用正则表达式表示
```
"coding[:=]/s*([-/w.]+)"
```
一般来说进行源文件编码声明有三种方式：

#coding=<encoding name>  #!/usr/bin/python # -*- coding: <encoding name> -*-  #!/usr/bin/python # vim: set fileencoding=<encoding name>:

普通字符和Unicode进行字符串连接的时候抛出UnicodeDecodeError异常。
```
# coding=utf-8 s = "中文" + u"Chinese Test" print s
```
使用 +
操作符来进行字符串的连接时，左边为中文字符串，类型为str，右边为Unicode字符串，当两种类型的字符串连接的时候，python将左边的中文字符串转换为Unicode再与右边的Unicode字符串连接，将str转换为Unicode时使用系统默认的ASCII编码对字符串进行编码，就会出现UnicodeDecodeError异常。解法办法：

指定str转换为Unicode时的编码方式。

#coding=utf-8 s = "中文".decode('gbk') + u"Chinese Test"

将Unicode字符串进行UTF-8编码
```
s = "中文" + u"Chinese Test".encode("utf-8")
```
建议十七：构建合理的包层次来管理module

本质上每一个python文件都是一个模块，使用模块可以增强代码的可维护性和可重用性。我们需要包（Package）来合理的组织项目的层次来管理模块。

包即目录，但是与普通目录不同，它除了包含常规的python文件（模块）以外，还包含一个__init__.py文件，同时它允许嵌套。包结构如下：
```
Package/ __init__.py Module1.py Molude2.py Subpackage/ __init__.py     Module1.py     Module2.py
```
包中的模块可以通过 . 访问符进行访问，即 包名.模块名 。如上述嵌套结构中访问Package下的Module1可以使用 Package.Module1 ，而访问Subpackage中的Module1则可以使用 Package.Subpackage.Module1

包中的模块同样可以被导入其他模块中，有以下几种方法：
直接导入一个包
```
import Package
```
导入子模块或者子包
```
from Package import Module1 import Package.Module1 from Package import Subpackage import Package.Subpackage from Package.Subpackage import Module1 import Package.Subpackage.Module1
```
前面提到包的目录下应该有 init .py 文件，它除了区分包和普通目录，还可以在该文件中申明模块级别的import语句从而使其编程包级别可见。举例来看：

上例中如果要import包Package下Module1中的类Test,当__init__.py为空的时候需要使用完整路径
```
from Package.Module1 import Test
```
但是如果在__init__.py中添加from Module1 import Test语句，则可以直接使用下面语句来导入类Test
```
from Package import Test
```
注意：如果__init__.py为空，当意图使用 from Package import *将包Package中所有的模块导入当前名字空间时并不可以，这是因为不同平台间的命名规则不同，python解释器不能正确判定模块在对应平台如何导入，因此它仅仅执行__init__.py文件，如果要控制模块的导入，则需要修改__init__.py
```
__all__ = ['Module1', 'Module2', 'Subpackage']
```
这样就可以了。

包的使用可以带来如下便利：

合理组织代码，易于维护和使用。以下是一个可供参考的python项目结构：

ProjectName/ |---README |----LICENSE |----setup.py |-----requirements.txt |------sample/ |   |----__init__.py |   |----core.py |   |----helpers.py |------docs/ |   |------conf.py |   |------index.rst |------bin/ |------package/ |   |-----__init__.py |   |-----subpackage/ |   |-----...... |------tests/ |   |------test_basic.py |   |------test_advancde.py