プログラミングにおけるevalとは？使い方と危険性を理解する

Posted at 2026-01-03

はじめに

プログラミングを学んでいると、evalという関数に出会うことがあります。この関数は非常に強力ですが、同時に危険性も持ち合わせています。

この記事では、evalの基本的な仕組みから、なぜ使用を避けるべきなのか、そして代替手段まで解説します。

この記事で学べること

evalの基本的な動作原理
evalが持つセキュリティリスク
evalの安全な代替手段

evalの基本

evalとは何か

evalは、文字列として与えられたコードを実行時に解釈・実行する機能です。JavaScriptやPython、Ruby、PHPなど、多くのプログラミング言語で提供されています。

通常、プログラムは書かれたコードを事前にコンパイルまたは解析して実行しますが、evalを使うと実行中に動的に文字列をコードとして評価できます。

基本的な動作原理

evalは以下のように動作します。

文字列として渡されたコードを受け取る
その文字列をプログラミング言語のコードとして解釈する
解釈したコードを実行する
実行結果を返す

主要言語での実装例

JavaScript

// 数式の計算
const result1 = eval("2 + 3");
console.log(result1);  // 5

// 変数を使った計算
const x = 10;
const result2 = eval("x * 2");
console.log(result2);  // 20

// より複雑な式
const result3 = eval("Math.sqrt(16) + 5");
console.log(result3);  // 9

Python

# 数式の計算
result1 = eval("2 + 3")
print(result1)  # 5

# 変数を使った計算
x = 10
result2 = eval("x * 2")
print(result2)  # 20

# リストの生成
result3 = eval("[1, 2, 3, 4, 5]")
print(result3)  # [1, 2, 3, 4, 5]

Ruby

# 数式の計算
result1 = eval("2 + 3")
puts result1  # 5

# 変数を使った計算
x = 10
result2 = eval("x * 2")
puts result2  # 20

evalの仕組み

通常のコード実行との違い

通常のプログラムとevalを使用したプログラムでは、コードの処理タイミングが異なります。

通常のコード実行

evalを使ったコード実行

動作フローの詳細

evalは実行時に以下のステップで動作します。

この動的な実行が、evalの強力さと同時に危険性の源となっています。

evalの使用例

evalは主に以下のような場面で使われることがあります。

数式の動的計算

ユーザーが入力した数式を計算する場合などに使用されることがあります。

// 計算機アプリケーションの例（非推奨）
function calculate(expression) {
    try {
        return eval(expression);
    } catch (error) {
        return "計算エラー";
    }
}

console.log(calculate("10 + 5"));  // 15
console.log(calculate("(3 + 7) * 2"));  // 20

簡易的な設定ファイルの評価

設定ファイルに記述された式を評価する場合に使用されることがあります。

# 設定ファイルの評価例（非推奨）
config = """
{
    'port': 8080,
    'host': 'localhost',
    'timeout': 30 * 60  # 30分
}
"""

settings = eval(config)
print(settings['timeout'])  # 1800

JSONに似たデータの解析

古いコードでは、JSONの代わりにevalが使われていることがあります。

// 古い手法（非推奨）
const data = "{ name: 'John', age: 30 }";
const obj = eval("(" + data + ")");
console.log(obj.name);  // John

しかし、これらの用途にはすべてより安全な代替手段が存在します。

evalの危険性

evalは便利に見えますが、重大なセキュリティリスクを持っています。

セキュリティリスクの詳細

evalの主な危険性は以下の通りです。

任意のコード実行: 悪意のあるコードが実行される
データの漏洩: 機密情報へのアクセスが可能
システムの破壊: 予期しない動作を引き起こす
デバッグの困難さ: エラーの原因を特定しにくい
パフォーマンスの低下: 実行時の解析でオーバーヘッドが発生

コードインジェクションの具体例

例1: ユーザー入力を直接evalに渡す

// 極めて危険なコード
function userCalculate(userInput) {
    return eval(userInput);
}

// 正常な使用
console.log(userCalculate("2 + 3"));  // 5

// 攻撃例
userCalculate("alert('攻撃!')");  // 警告ダイアログが表示される
userCalculate("window.location='http://evil.com'");  // 悪意のあるサイトへリダイレクト

例2: データベースからの情報漏洩

// Node.jsでの危険な例
const userInput = "require('fs').readFileSync('/etc/passwd', 'utf8')";
const result = eval(userInput);
// システムファイルが読み取られてしまう

例3: サーバーサイドでの攻撃

# Pythonでの危険な例
user_code = "__import__('os').system('rm -rf /')"
eval(user_code)
# システム全体が削除される可能性

実際に起こりうる被害

evalを不適切に使用すると、以下のような被害が発生する可能性があります。

実際の事例として、evalの不適切な使用により、以下のようなセキュリティインシデントが発生しています。

Webアプリケーションでのクロスサイトスクリプティング（XSS）攻撃
サーバーサイドでのリモートコード実行
機密データの外部送信

evalの代替手段

現代のプログラミングでは、evalの使用は避け、より安全な方法を選択することが推奨されています。

より安全な方法

用途に応じて、以下の代替手段を使用しましょう。

1. JSONのパース

データの受け渡しにはJSON.parse()を使用します。

// evalを使った方法（非推奨）
const data = '{"name": "John", "age": 30}';
const obj1 = eval("(" + data + ")");

// JSON.parseを使った方法（推奨）
const data2 = '{"name": "John", "age": 30}';
const obj2 = JSON.parse(data2);
console.log(obj2.name);  // John

2. 関数オブジェクトの使用

JavaScriptで動的に関数を作成する場合はFunctionコンストラクタを使用します。

// evalを使った方法（非推奨）
const result1 = eval("2 + 3");

// Functionを使った方法（より安全）
const fn = new Function("return 2 + 3");
const result2 = fn();
console.log(result2);  // 5

ただし、Functionコンストラクタも同様のリスクがあるため、可能な限り使用を避けるべきです。

3. 専用のパーサーライブラリ

数式評価には専用ライブラリを使用します。

// math.js を使った安全な数式評価
import { evaluate } from 'mathjs';

const result = evaluate('2 + 3 * 4');
console.log(result);  // 14

// ユーザー入力も安全に処理できる
const userInput = 'sqrt(16) + 5';
const safeResult = evaluate(userInput);
console.log(safeResult);  // 9

4. テンプレートエンジンの使用

動的な文字列生成にはテンプレートエンジンを使用します。

// テンプレートリテラル（ES6）
const name = "John";
const age = 30;
const message = `Hello, ${name}! You are ${age} years old.`;
console.log(message);

5. 条件分岐や関数の使用

動的な処理は、条件分岐や関数を使って実装します。

// evalを使った方法（非推奨）
function calculate(operator, a, b) {
    return eval(`${a} ${operator} ${b}`);
}

// 条件分岐を使った方法（推奨）
function calculateSafe(operator, a, b) {
    switch(operator) {
        case '+': return a + b;
        case '-': return a - b;
        case '*': return a * b;
        case '/': return a / b;
        default: throw new Error('Invalid operator');
    }
}

console.log(calculateSafe('+', 10, 5));  // 15

用途別の推奨アプローチ

用途	evalの使用	推奨される代替手段
JSONデータの解析	`eval(jsonString)`	`JSON.parse(jsonString)`
数式の計算	`eval(expression)`	math.jsなどの専用ライブラリ
動的な文字列生成	`eval(template)`	テンプレートリテラル
設定ファイルの読み込み	`eval(configString)`	YAML/TOMLパーサー
条件による処理の切り替え	`eval(condition)`	if文やswitch文

Pythonでの代替手段

Pythonでも同様に、evalの代わりに安全な方法を使用します。

# evalを使った方法（非推奨）
result1 = eval("2 + 3")

# ast.literal_evalを使った方法（推奨）
import ast
result2 = ast.literal_eval("2 + 3")
print(result2)  # 5

# リテラルの安全な評価
data = ast.literal_eval("[1, 2, 3, 4, 5]")
print(data)  # [1, 2, 3, 4, 5]

ast.literal_evalは、Pythonのリテラル構造（文字列、数値、タプル、リスト、辞書、ブール値、None）のみを安全に評価します。

まとめ

evalを使うべきでない理由

セキュリティリスクが高い: 任意のコード実行により、システムが危険にさらされる
デバッグが困難: 動的に生成されるコードはエラーの追跡が難しい
パフォーマンスが低い: 実行時の解析によりオーバーヘッドが発生する
代替手段が存在する: ほとんどの用途で、より安全な方法が利用可能

安全な開発のために

evalは使わない: 原則として、evalの使用は避ける
入力の検証: ユーザー入力は必ず検証・サニタイズする
専用ツールを使う: 用途に応じた専用ライブラリやツールを使用する
セキュリティレビュー: コードレビューでevalの使用をチェックする

evalは強力な機能ですが、その危険性を理解し、適切な代替手段を選択することが重要です。安全で保守性の高いコードを書くために、evalの使用は避けましょう。

参考資料

You get articles that match your needs
You can efficiently read back useful information
You can use dark theme

What you can do with signing up