Gaon12: 시작

2025-02-07T12:40:10Z

시작

새 문서

== 개요 ==
프로그래밍에서 문자열로 된 코드를 실행시키는 함수. 대부분의 스크립트 기반 프로그래밍 언어에서 지원하며, 실행 시점에 동적으로 코드를 평가하고 실행할 수 있게 해준다. 그러나 C/C++과 같이 정적 컴파일 언어에서는 기본적으로 제공되지 않으며, 별도의 라이브러리나 코드 생성 기법을 활용해야 유사 기능을 구현할 수 있다.

'''eval()''' 함수는 동적인 기능을 제공하여, 런타임에 사용자 입력이나 외부 데이터 등을 코드로 해석해 실행할 수 있다는 장점이 있다. 하지만 보안상의 위험과 디버깅, 유지보수의 어려움으로 인해 대부분의 상황에서는 사용이 권장되지 않는다. 실제로 '''eval()'''을 활용해야 할 정당한 이유가 있는 경우는 매우 드물며, 필요한 기능을 안전하고 명확하게 대체할 수 있는 다른 방법을 모색하는 편이 훨씬 낫다.

특히 웹 환경(예: 자바스크립트)에서는 사용자의 입력 또는 URL 파라미터 등을 신뢰 없이 곧바로 '''eval()'''에 전달할 경우, 공격자가 임의의 코드를 실행시킬 수 있으므로 코드 인젝션 취약점이 발생한다. 이는 서버 및 사용자 환경 양쪽에서 모두 심각한 보안 문제로 이어질 수 있으므로, 사용 시 각별한 주의와 사전 검증이 필수적이다.

== 주의사항 ==
{| class="wikitable"
|+ Eval 함수 사용시 주의사항
|-
! 위험요소 !! 설명
|-
| 코드 인젝션 || 악의적인 코드가 실행될 수 있음. 사용자 입력을 직접 전달할 경우 특히 위험
|-
| 성능 저하 || 런타임에 코드를 파싱하고 실행하므로 일반 코드보다 느림. 대량 반복 사용 시 성능 문제 가중
|-
| 디버깅 어려움 || 동적으로 생성된 코드는 디버깅 도구에서 추적하기 어려움. 에러 위치 파악이 힘듦
|-
| 유지보수 복잡 || 코드가 명확하지 않아, 다른 개발자가 이해하고 수정하기가 까다로움
|-
| 예측 불가능성 || 실행 시점에 어떤 코드가 실행될지 명확하지 않아, 테스트 범위를 예측하기 어려움
|}

== 언어별 사용법 ==
각 언어에서 '''eval()''' 또는 유사 기능이 제공되는 방식은 조금씩 다르다. 여기서는 대표적으로 자바스크립트, 파이썬, PHP, Ruby에서의 사용 예시를 살펴보고 주의해야 할 점을 정리한다.

=== 자바스크립트 ===
[[자바스크립트]]에서는 '''eval()''' 함수를 통해 문자열로 된 자바스크립트 코드를 실행할 수 있다. 스크립트 엔진이 문자열을 자바스크립트 코드로 해석하여 실행하기 때문에, 사용자의 입력을 함부로 전달하면 보안 취약점이 될 수 있다.

'''기본 사용'''
<syntaxhighlight lang="javascript">
// 간단한 수식 계산
eval('2 + 2'); // 결과: 4

// 변수 선언과 사용
let x = 10;
eval('x + 5'); // 결과: 15

// 여러 줄의 코드 실행
eval(`
let a = 5;
let b = 3;
a * b;
`); // 결과: 15
</syntaxhighlight>

'''응용 예제'''
<syntaxhighlight lang="javascript">
// 동적으로 함수 생성
let functionString = `
function add(a, b) {
return a + b;
}
`;
eval(functionString);
add(5, 3); // 결과: 8

// JSON 파싱 (비추천 - JSON.parse() 사용 권장)
eval('(' + '{"name": "John", "age": 30}' + ')');
</syntaxhighlight>

자바스크립트에서는 '''eval()'''을 대체하기 위해 '''Function()''' 생성자를 사용하는 방법이 있으나, 이 역시 보안상 유사한 위험을 내포한다. JSON 데이터를 해석해야 하는 경우 '''JSON.parse()''', 템플릿 문자열을 다루어야 할 때는 안전한 템플릿 엔진을 사용하는 것이 바람직하다.

=== 파이썬 ===
[[파이썬]]에서는 '''eval()'''과 '''exec()''' 두 가지 함수를 제공한다. '''eval()'''은 단일 표현식을 평가하고 결과를 반환하며, '''exec()'''는 여러 줄에 걸친 파이썬 코드를 실행할 수 있다. 두 함수 모두 외부 입력을 처리할 때 보안 문제가 발생할 수 있으므로 주의가 필요하다.

'''eval() 사용'''
<syntaxhighlight lang="python">
# 수식 계산
eval('2 ** 3') # 결과: 8

# 리스트 조작
x = [1, 2, 3]
eval('x[0] + len(x)') # 결과: 4

# 딕셔너리 생성
eval("{'name': 'Python', 'year': 1991}")
</syntaxhighlight>

'''exec() 사용'''
<syntaxhighlight lang="python">
# 여러 줄의 코드 실행
program = """
def greet(name):
return f'Hello, {name}!'

result = greet('Python')
"""
namespace = {}
exec(program, namespace)
print(namespace['result']) # 출력: Hello, Python!

# 클래스 동적 생성
class_def = """
class DynamicClass:
def __init__(self, value):
self.value = value

def get_value(self):
return self.value * 2
"""
exec(class_def)
obj = DynamicClass(5)
obj.get_value() # 결과: 10
</syntaxhighlight>

파이썬에서는 '''eval()'''이 단일 표현식만을 다룰 수 있고, '''exec()'''는 반환값 없이 전체 코드 블록을 실행한다. 따라서 코드 구조가 복잡해질수록 '''exec()''' 활용 시도 자체가 코드 설계의 문제일 가능성이 높다. 안전한 라이브러리나 모듈을 통해 필요한 기능을 구현하는 편이 대부분 더 권장된다.

=== PHP ===
[[PHP]]에서는 '''eval()''' 함수를 사용하여 PHP 코드 문자열을 실행할 수 있다. PHP 역시 사용자 입력이나 파일에서 가져온 문자열을 직접 '''eval()'''에 넘길 경우 심각한 보안 취약점이 발생할 수 있으므로, 서버사이드에서 이를 사용할 때는 각별한 검증 절차가 필요하다.

'''기본 사용'''
<syntaxhighlight lang="php">
// 간단한 계산
eval('echo 2 + 3;'); // 출력: 5

// 변수 사용
$x = 10;
eval('$result = $x * 2;');
echo $result; // 출력: 20

// 함수 정의
eval('
function multiply($a, $b) {
return $a * $b;
}
');
echo multiply(4, 5); // 출력: 20
</syntaxhighlight>

PHP의 '''eval()'''에서 주의할 점은, 구문 오류가 있을 경우 런타임 에러가 발생해 코드 실행이 중단될 수 있다는 것이다. 또한 오타나 악의적인 코드를 포함한 문자열이 그대로 실행되므로, 실 서버 환경에서 사용 시에는 필터링, 이스케이프, 혹은 다른 로직으로 대체하는 것을 강력히 권장한다.

=== Ruby ===
[[Ruby(프로그래밍 언어)|Ruby]]에서는 '''eval()''' 메서드를 사용하여 Ruby 코드 문자열을 실행할 수 있다. 메서드 이름 그대로 문자열을 평가하여 결과를 반환하며, 동적 메서드 정의나 클래스 생성을 가능하게 한다.

'''기본 예제'''
<syntaxhighlight lang="ruby">
# 간단한 계산
eval("2 + 2") # 결과: 4

# 문자열 조작
str = "hello"
eval("str.upcase") # 결과: "HELLO"

# 클래스 정의
eval("
class MyClass
def initialize(name)
@name = name
end

def greet
puts \"Hello, #{@name}!\"
end
end
")

obj = MyClass.new("Ruby")
obj.greet # 출력: Hello, Ruby!
</syntaxhighlight>

동적으로 코드를 생성하여 실행하는 것은 매우 유연하지만, 역시나 보안 취약점이 될 수 있으므로 외부 데이터를 그대로 '''eval()'''에 넘기는 일은 피해야 한다. 또한 유지보수성 측면에서 코드를 명시적으로 작성하는 방법이 훨씬 낫다는 점을 잊지 말아야 한다.

=== 그 외 언어에서의 예시 ===
* '''Perl''': <code>eval</code> 블록을 이용해 문자열 코드를 실행하거나 예외 처리를 위해 사용한다. 마찬가지로 외부 입력을 사용할 경우 세심한 검증이 필요하다.
* '''C#''': 기본적으로 '''eval()'''에 해당하는 내장 함수는 없지만, '''Roslyn''' 컴파일러 API나 <code>CSharpCodeProvider</code> 등을 이용해 런타임에 코드를 컴파일하여 실행하는 유사 기능을 구현할 수 있다.
* '''Java''': 자바 역시 '''eval()'''에 해당하는 직접적인 함수는 없으며, 동적 클래스 로더나 '''JavaCompiler''' API 등을 사용해 런타임에 코드를 컴파일, 로드, 실행하는 방식을 취할 수 있다.

=== 독립 환경에서의 eval 유사 동작 ===
몇몇 언어들에서는 표준 '''eval()''' 함수를 직접 제공하지 않더라도, 외부 프로세스를 호출하는 방식으로 유사한 효과를 낼 수 있다. 예를 들어, 파이썬의 '''subprocess''' 모듈이나 Node.js의 '''child_process''' 모듈은 시스템 셸을 통해 명령어를 실행할 수 있으므로, 사실상 문자열을 코드로 해석하고 실행하는 것과 유사한 동작을 수행한다.

* 파이썬의 '''subprocess.run()''' 또는 '''subprocess.Popen()''' 사용 시, <code>shell=True</code> 옵션을 부주의하게 설정하면 외부 입력이 셸 명령어로 실행되어 보안 문제가 생길 수 있다.
* Node.js의 '''child_process.exec()''' 또한 임의의 시스템 명령어를 실행할 수 있어, 공격자가 임의 코드를 실행하도록 악용할 소지가 있다.

이러한 방법은 표준 eval 함수와는 달리 별도의 터미널/cmd 환경을 거치지만, 결국 런타임에 문자열로 된 명령어를 실행한다는 점에서 '''eval()''' 함수와 유사한 보안 위험이 존재한다. 따라서 '''eval()'''을 직접 사용하든, 혹은 프로세스 호출 방식을 사용하든 외부 입력 검증 및 샌드박싱이 중요한 보안 포인트가 된다.

== 보안 고려사항 ==
'''eval()''' 함수는 매우 강력한 기능을 제공하지만, 보안상 심각한 위험을 초래할 수 있다. 다음과 같은 보안 대책을 고려해야 한다:

* 사용자 입력이나 외부 데이터를 직접 '''eval()'''에 전달하지 않는다.
* 필요한 경우 샌드박스 환경(예: VM, Docker, 제한된 해석기)에서 실행한다.
* 가능한 경우 '''eval()''' 대신 더 안전한 대체 방법을 사용한다.
* 코드 실행 전 철저한 검증과 인코딩, 이스케이프 처리를 수행한다.
* 운영 환경에서 실사용 전 보안 분석 및 침투 테스트를 진행한다.

'''eval()'''을 통한 코드 인젝션은 [[OWASP]] 등 각종 보안 가이드라인에서 중요한 취약점으로 언급되고 있다. 특히 웹 애플리케이션에서 자바스크립트나 PHP를 사용할 때는, 입력 검증 없이 문자열을 실행하는 행위가 해커에게 사이트 제어 권한을 넘기는 것과 다름없을 수 있으므로 반드시 주의해야 한다.

=== 안전한 대체 방법 ===
{| class="wikitable"
|-
! 용도 !! 안전한 대체 방법
|-
| JSON 파싱 || JSON.parse(), json.loads() 등 언어별 JSON 파서 사용
|-
| 수식 계산 || 수식 파서(예: math.js, 파이썬의 '''ast.literal_eval''' 등) 라이브러리 사용
|-
| 템플릿 처리 || 템플릿 엔진(Mustache, Handlebars, Jinja2 등) 사용
|-
| 설정 파일 || YAML, TOML 등의 설정 파일 형식 사용
|-
| 동적 코드 로딩 || 안전한 플러그인 시스템 혹은 사전 컴파일된 모듈 이용
|}

문자열을 동적으로 해석하여 기능을 추가하는 과정을 반드시 거쳐야 한다면, 내부적으로 사용하는 DSL(Domain-Specific Language)을 정의하거나 별도의 파서(Parser)를 작성하는 방법도 고려할 수 있다. 이렇게 하면 외부 입력을 완전히 제어할 수 있고, 일반적인 프로그래밍 언어보다 더 제한된 명령어만 사용 가능하게 설정하여 안전성을 높일 수 있다.

== 관련 내용 ==
* [[AST (Abstract Syntax Tree)]]
* [[코드 인젝션]]
* [[샌드박싱]]
* [[자바스크립트 보안]]
* [[OWASP]]
* [[보안 취약점 점검]]
* [[동적 로딩 (Dynamic Loading)]]


[[분류:프로그래밍]]

Eval 함수 - 편집 역사

Gaon12: 시작