[TOC]
(Python 2.7 に基づく)
Python サンドボックスエスケープの問題を解決する前に、Python の構文の詳細を理解する必要があります。 eval関数 eval函数的使用方法，就可以跳过第一和第二部分，直接看 3x00 吧。

0x00 表达式的执行

用执行某个表达式的内容，可以使用 exec 或 eval 来进行。

0x01 exec

exec_stmt:    "exec" expression ["in" expression ["," expression]]

ログイン後にコピー

其中，["in" expression ["," expression]]是可选表达式。

1,对代码/字符串进行操作

exec "x = 1+1"
print x
#result:
#2

ログイン後にコピー

exec "x = 'a' + '42'"
print x
#result:
#a42

ログイン後にコピー

也可以执行多行代码，用三个引号括起来就可以：

a = 0
exec"""for _ in range(input()):
        a += 1
"""
print a

ログイン後にコピー

2,文件操作

execfile

一方面可以使用 execfile,它的作用是执行这个文件的内容

#Desktop/pytest.txt
print 'Gou Li Guo Jia Sheng Si Yi'

ログイン後にコピー

#Desktop/pytest.py
execfile(r'C:\Users\Think\Desktop\pytest.txt')

ログイン後にコピー

pytest.py的输出结果为：

Gou Li Guo Jia Sheng Si Yi

ログイン後にコピー

execfile执行了pytest.txt里的内容，注意是执行而非读取，如果pytest.txt中的内容是'Gou Li Guo Jia Sheng Si Yi'，那么将不会得到任何输出。
当然，执行一个 .py 文件也是可以的。而执行 .txt 文件的要求是，txt 文件中的内容是 ASCII 。最好还是执行一个 .py 文件而非 txt 文件。

这种执行其实是将 execfile 所指向的文件的内容直接 copy 过去。
例如：

#C:/Users/Think/Desktop/Mo.py
#coding:utf-8
a = 2
print '稻花香里说丰年，听取蛤声一片'

ログイン後にコピー

#C:/Users/Think/Desktop/pytest.py
a = 3
execfile(r'C:\Users\Think\Desktop\Mo.py')
print a

ログイン後にコピー

此时，pytest 的结果为：

稻花香里说丰年，听取蛤声一片
2

ログイン後にコピー

其实就是完全地执行一遍文件里的内容……而不是当做函数调用来执行。

直接使用 exec 进行操作

直接使用 exec ，也是执行文件的内容，但是可以使用 in 表达式来使用 Global 变量域。

#C:\Users\Think\Desktop\test1.txt
print poetry

ログイン後にコピー

#pytest.py
result={'poetry':'苟利国家生死以'}
exec open(r'C:\Users\Think\Desktop\test1.txt') in result

ログイン後にコピー

3，tuple 的使用

b = 42
tup1 = (123,456,111)
exec "b = tup1[2]"
print b

ログイン後にコピー

输出结果为

ログイン後にコピー

exec 的 globals / locals 参数的使用方法

exec支持两个可选参数，不支持关键字指定参数。
Python 采用的是静态作用域（词法作用域）规则，类似于 C++,在该函数内该变量可用，在函数外不可用。
在 Pascal 语言中，采用的是动态作用域，也就是说，一旦函数被执行，该变量就会存在。例如，在函数 g 当中套了个函数 f，程序执行到f时，会在f中寻找表达式中的变量，如果找不到，就往外层找，此时g中若存在这个变量，则使用该变量，若不存在，继续向外逐层查找。
需要注意的是， exec是语法声明(statement)，而非函数(function)，而execfile 是函数。
原因如下：
在 exec中直接打印外部变量：

b = 42
tup1 = (123,456,111)
exec "print tup1[1]"
#结果为 456

ログイン後にコピー

在函数中打印外部变量：

b = 42
tup1 = (123,456,111)
def pr():
    print tup[1]

pr()

#结果：
#NameError: global name &#39;tup&#39; is not defined

ログイン後にコピー

LEGB 规则

exec 中的 globals 参数

exec_stmt:    "exec" expression ["in" expression ["," expression]]

ログイン後にコピー

globals 是dict 对象，它指定了 exec 中需要的全局变量。

globlas等价于globals()
locals等价于globals参数的值

1,globals

#coding:utf-8
k = {&#39;b&#39;:42}
exec ("a = b + 1",k)
print k[&#39;a&#39;],k[&#39;b&#39;]
#结果：
#43 42

ログイン後にコピー

在段代码中，exec中的值是locals，它来源于指定的k,即globals.
并且，globals 取于全局变量，作用于全局变量。

2,locals

g = {&#39;b&#39;:100}
exec("""age = b + a
print age
     """,g,{&#39;a&#39;:1})
#结果：
#101

ログイン後にコピー

比较：

g = {&#39;b&#39;:100,&#39;a&#39;:2}
exec("""age = b + a
print age
     """,g,{&#39;a&#39;:1})

#结果：
#101

ログイン後にコピー

可以看到，相对于exec来说，其内部具有三个变量，即 age，b，a
在制定之后，b 来自 g （global），而 a 来自自定的 local 变量。
由此可见，local 取于局部变量，作用于局部变量。
为了验证这一结论，对稍加修改：

g = {&#39;b&#39;:100}
exec("""age = b + a
print age
     """,g,{&#39;a&#39;:1})

print g[&#39;a&#39;]
#结果：
#101
# print g[&#39;a&#39;]
#KeyError: &#39;a&#39;

ログイン後にコピー

可以看到，a并没有作用于字典 g(全局的)，而上面第一小节提到的globals中，键值a已经填入了全局的字典g.