[PYTHON] eval()과 exec()의 2가지 보안 위협과 성능 저하를 해결하는 안전한 방법

eval()과 exec()

 

파이썬은 "모든 것이 객체"라는 철학 아래 동적 타이핑과 유연한 코드 실행 환경을 제공합니다. 그중에서도 eval()과 exec()는 문자열 형태의 코드를 런타임에 즉석에서 실행할 수 있게 해주는 매우 강력한 도구입니다. 하지만 이 편리함 뒤에는 시스템 전체를 붕괴시킬 수 있는 치명적인 보안 위험과 프로그램의 실행 속도를 갉아먹는 심각한 성능 저하가 숨어 있습니다. 오늘날의 숙련된 파이썬 개발자들은 왜 이 함수들을 "악마의 도구"라고 부르며 기피하는지, 그리고 이를 대체하여 시스템의 안전성과 효율성을 동시에 잡을 수 있는 구체적인 방법과 해결책은 무엇인지 심층 분석해 보겠습니다.

1. eval()과 exec()의 정의와 결정적 차이

두 함수 모두 문자열을 파이썬 코드로 해석하지만, 그 용도와 반환 방식에는 명확한 차이가 있습니다.

• eval(expression): 단일 '표현식(Expression)'을 평가합니다. 결과를 반환하며, x + 5와 같이 값을 산출하는 코드에 사용됩니다.
• exec(object): 문장(Statement)이나 코드 블록을 실행합니다. 함수 정의, 루프, 제어문 등을 포함할 수 있으며 반환값은 항상 None입니다.

---

2. 보안 위협: 시스템 통제권을 넘겨주는 지름길

eval()과 exec()의 가장 큰 문제는 신뢰할 수 없는 외부 입력값이 포함될 때 발생합니다. 이를 통해 공격자는 원격 코드 실행(RCE) 공격을 수행할 수 있습니다.

표: eval()과 exec()의 보안 및 성능 특징 비교

비교 항목	eval()	exec()
실행 대상	단일 식 (Expression)	복합 문장 (Statement)
반환값	계산된 결과값	없음 (None)
보안 위험도	매우 높음 (정보 유출 및 조작)	극도로 높음 (시스템 전체 장악 가능)
성능 부하	매번 파싱 및 컴파일 발생	대규모 코드 블록 컴파일로 인한 지연
네임스페이스 영향	읽기 위주 (전역/지역 참조 가능)	쓰기 가능 (변수 및 함수 동적 생성)

사용자로부터 "1 + 1"을 입력받아 계산하는 앱을 만들었다고 가정해봅시다. 공격자가 숫 대신 __import__('os').system('rm -rf /')와 같은 문자열을 입력한다면, eval()은 이를 충실히 실행하여 서버의 모든 데이터를 삭제할 것입니다. 이는 단순히 설정을 제한한다고 해서 해결될 수 있는 문제가 아닙니다.

3. 성능 저하의 원인: PVM의 최적화 무력화

파이썬 인터프리터(PVM)는 코드를 실행하기 전 바이트코드로 컴파일하고 최적화 과정을 거칩니다. 하지만 eval()과 exec()는 이 과정을 방해합니다.

1. 반복적인 컴파일: 루프 안에서 eval()을 호출하면, 동일한 로직이라도 매번 문자열을 파싱하고 바이트코드를 생성해야 합니다.
2. 로컬 변수 최적화 차단: 파이썬은 로컬 변수를 인덱스 기반으로 관리하여 속도를 높입니다. 하지만 exec()가 로컬 네임스페이스를 동적으로 수정할 가능성이 생기면, 인터프리터는 이러한 최적화(LOAD_FAST)를 포기하고 느린 사전 기반 탐색(LOAD_NAME) 방식을 선택하게 됩니다.

4. Sample Example: 위험 사례와 안전한 대안 비교

아래 코드는 eval()의 위험성과 이를 ast.literal_eval()로 해결하는 방법을 보여줍니다.

import ast

# 1. 위험한 방식 (eval)
user_input = "__import__('os').listdir('.')" # 공격 시나리오
try:
    # 이 코드는 서버의 파일 목록을 외부에 노출시킵니다.
    print(eval(user_input))
except Exception as e:
    print(f"Error: {e}")

# 2. 안전한 대안 (ast.literal_eval)
# 오직 문자열, 숫자, 튜플, 리스트, 딕셔너리 등 '리터럴'만 평가합니다.
safe_input = "{'key': 'value', 'id': 101}"
try:
    result = ast.literal_eval(safe_input)
    print(f"안전하게 파싱된 결과: {result}")
    
    # 만약 위와 같은 공격 코드를 넣으면 ValueError를 발생시키며 중단됩니다.
    ast.literal_eval(user_input)
except ValueError:
    print("보안 위협이 탐지되어 실행을 거부했습니다.")

5. eval()과 exec()를 대체하는 전문가의 3가지 해결책

무분별한 동적 실행 대신 권장되는 방법들은 다음과 같습니다.

• ast.literal_eval(): 설정 파일이나 간단한 데이터 구조를 파이썬 리터럴 형태로 받아야 할 때 가장 안전한 해결책입니다.
• getattr() 및 딕셔너리 매핑: 입력값에 따라 다른 함수를 호출해야 한다면, eval() 대신 함수 객체를 딕셔너리에 담아 관리하거나 getattr(obj, func_name)을 활용하십시오.
• 미리 컴파일된 코드 사용: 반드시 exec()를 써야만 하는 특수한 상황(예: 템플릿 엔진 제작)이라면, compile() 함수를 사용하여 문자열을 미리 코드 객체로 변환해 두십시오. 이는 반복 실행 시 성능 저하를 최소화합니다.

6. 결론: "동적 코드는 정적으로 관리하라"

eval()과 exec()는 분명 매력적인 기능을 제공하지만, 상용 서비스에서 이를 사용하는 것은 도심 한복판에서 안전장치 없이 폭약을 다루는 것과 같습니다. 보안은 시스템 설계의 기본이며, 성능은 사용자 경험의 핵심입니다. 문자열 기반의 유연함보다는 명시적인 데이터 구조와 사전에 정의된 로직 매핑을 통해 더 견고하고 빠른 파이썬 애플리케이션을 구축하시기 바랍니다. 진정한 파이썬 고수는 eval() 없이도 충분히 동적인 기능을 안전하게 구현해내는 방법을 아는 사람입니다.

콘텐츠 참조 및 기술 출처

• Python Documentation.
• PyPA Security Guide: "Evaluating expressions safely in Python"
• Real Python: "Python's eval(): Evaluate Expressions Dynamically"