将不受信任的来源的信息作为python异常消息放置是否安全？

Question

有什么办法危险以下内容？与之类似，如果有人将此异常打印到，代码是否可以执行stdout？def somefunc(val_from_untrusted_source):    if val_from_untrusted_source == 'something_we_except':        # do something useful        pass    else:        raise RuntimeException('unknown input: {}'.format(val_from_untrusted_source))

Answer 1

据我所知，没有危险不会发生。最不愉快的后果：

1. （如果假定使用Python 2）如果val_from_untrusted_source不是ASCII，UnicodeEncodeError则在尝试加注时会发生RuntimeException

2. 如果val_from_untrusted_source包含'\ r'并且有人将此异常写入日志-当前日志行的开头可能会被覆盖