本文讲解为何 json 字符串无法直接解析 python 变量（如 `somedict["one"]`），并提供基于 jinja2 模板的安全替代方案，避免使用危险的 `eval()`，实现配置驱动的函数调用逻辑。
JSON 是一种纯数据交换格式，其设计目标是语言无关、结构简单、可序列化。它不支持表达式求值、变量引用或运行时逻辑——这意味着字符串 {"someKey": "someDict['One']"} 中的内容会被 JSON 解析器原样当作字符串值处理，而非执行字典索引操作。这正是你遇到问题的根本原因：json.loads() 从不执行代码，只还原数据结构。
你曾尝试用 eval() 解决，虽然技术上可行，但存在严重安全隐患：若外部文本文件（如用户上传的配置）被恶意构造，eval() 可能执行任意代码，导致远程代码执行（RCE）、数据泄露或系统崩溃。因此，在生产环境中必须规避 eval、exec 及任何类似动态执行机制。
更合理的设计思路是分离“静态配置”与“动态上下文”：将 JSON 字符串视为带占位符的模板，再通过安全的模板引擎注入真实变量。Jinja2 是业界广泛采用、沙箱友好、语法简洁的首选方案。
以下是一个完整、可运行的示例：
立即学习“Python免费学习笔记（深入）”；
import json
from jinja2 import Environment, BaseLoader
# 1. 定义原始数据上下文（来自你的 Python 环境）
someDict = {"One": "Good"}
anotherDict = {"anotherKey": 42}
# 2. 编写含 Jinja2 表达式的模板字符串（注意双大括号语法）
template_str = '''
{
"variable1": "{{ someDict['One'] }}",
"someListVar": [{{ anotherDict['anotherKey'] }}],
"nested": {"status": "{{ 'OK' if someDict['One'] == 'Good' else 'ERROR' }}"}
}
'''
# 3. 创建 Jinja2 环境（禁用复杂功能以增强安全性）
env = Environment(loader=BaseLoader())
template = env.from_string(template_str)
# 4. 渲染模板：传入上下文字典（键名即模板中可用的变量名）
rendered_json_str = template.render(
someDict=someDict,
anotherDict=anotherDict
).strip()
# 5. 安全解析为 Python 字典
parsed_dict = json.loads(rendered_json_str)
print(parsed_dict)
# 输出：{'variable1': 'Good', 'someListVar': [42], 'nested': {'status': 'OK'}}✅ 关键优势：
- ✅ 安全：Jinja2 默认不执行任意 Python 代码，仅支持受控表达式（如变量访问、过滤器、简单条件）；
- ✅ 可维护：模板与数据解耦，修改配置无需改动 Python 逻辑；
- ✅ 可扩展：支持循环、过滤器（如 {{ value | upper }}）、宏定义等高级能力；
- ✅ 类型保留：最终 json.loads() 输出标准 dict/list，可无缝用于函数参数传递（如 someFunction(**parsed_dict)）。
⚠️ 注意事项：
- 避免在模板中使用 | do(...) 或自定义危险过滤器；
- 若需更高安全性，可启用 Jinja2 的 sandbox 模式（ImmutableSandboxedEnvironment）；
- 对于极简场景，也可考虑自定义轻量解析器（如正则替换 + ast.literal_eval），但 Jinja2 在灵活性与健壮性上更值得推荐；
- 始终对 json.loads() 调用做异常捕获（json.JSONDecodeError），防止模板渲染后格式非法。
总结：不要让 JSON 承担变量求值的职责。用 Jinja2 将 JSON 字符串升级为“数据模板”，既保持配置的可读性与可编辑性，又确保运行时的安全与可控——这才是面向配置编程（Configuration-as-Code）的正确实践。
