1 簡介

我們項目組主要負(fù)責(zé)面向企業(yè)客戶的業(yè)務(wù)系統(tǒng)，企業(yè)的需求往往是多樣化且復(fù)雜的，對接不同企業(yè)時會有不同的定制化的業(yè)務(wù)模型和流程。我們在業(yè)務(wù)系統(tǒng)中使用表達(dá)式引擎，集中配置管理業(yè)務(wù)規(guī)則，并實現(xiàn)實時決策和計算，可以提高系統(tǒng)的靈活性和響應(yīng)能力，從而更好地滿足業(yè)務(wù)的需求。

舉個簡單的例子，假設(shè)我們有一個業(yè)務(wù)場景，在返利系統(tǒng)中，當(dāng)推廣員滿足一定的獎勵條件時，就會給其對應(yīng)的獎勵金額。例如某個產(chǎn)品的具體獎勵規(guī)則如下：

這個規(guī)則看起來很好實現(xiàn)，只要在代碼里寫幾個if else分支就可以了。但是如果返利系統(tǒng)對接了多家供應(yīng)商，且每家提供的產(chǎn)品的獎勵規(guī)則都不同呢？再通過硬編碼的方式寫if else似乎就不太好了，每次增加修改刪除規(guī)則都需要系統(tǒng)發(fā)版上線。

引入規(guī)則引擎似乎就能解決這個問題，規(guī)則引擎的一個好處就是可以使業(yè)務(wù)規(guī)則和業(yè)務(wù)代碼分離，從而降低維護難度，同時它還可以滿足業(yè)務(wù)人員通過編寫DSL或通過界面指定規(guī)則的訴求，這樣就可以在沒有開發(fā)人員參與的情況下建立規(guī)則了，這種說法聽起來似乎很有道理，但在實踐中卻很少行得通。首先，規(guī)則引擎有一定的學(xué)習(xí)成本，即使開發(fā)人員使用也需要進行專門的學(xué)習(xí)，更何況沒有任何編程背景的業(yè)務(wù)人員，其次，其實現(xiàn)的復(fù)雜度也高，如果業(yè)務(wù)規(guī)則復(fù)雜，規(guī)則制定者對規(guī)則引擎內(nèi)部隱藏的程序流程不了解，很可能會得到意想不到的結(jié)果，最后，有些規(guī)則引擎還存在性能瓶頸。如果對規(guī)則引擎和表達(dá)式引擎都不熟悉，抽離的業(yè)務(wù)規(guī)則又需要由開發(fā)人員來制定，那么相比之下表達(dá)式引擎就要容易上手的多，其語法更接近Java，而且有些表達(dá)式引擎還會將表達(dá)式編譯成字節(jié)碼，在執(zhí)行速度和資源利用方面可能就更有優(yōu)勢。所以，對于此類業(yè)務(wù)場景，使用表達(dá)式引擎似乎更加合適一些。

本文主要對Java表達(dá)式引擎進行概要性介紹和分析，并提供一定建議，為團隊研發(fā)過程中對表達(dá)式引擎的技術(shù)選型提供輸入。

2 技術(shù)棧簡介

本文將針對AviatorScript、MVEL、OGNL、SpEL、QLExpress、JEXL、JUEL幾種常見表達(dá)式引擎進行選型調(diào)研。先簡單介紹一下這幾種表達(dá)式引擎。

2.1 AviatorScript

AviatorScript 是一門高性能、輕量級寄宿于 JVM 之上的腳本語言。AviatorScript 可將表達(dá)式編譯成字節(jié)碼。2010年作者在淘寶中間件負(fù)責(zé)Notify內(nèi)部消息中間件時開發(fā)并開源。它原來的定位一直只是一個表達(dá)式引擎，不支持 if/else 條件語句，也不支持for/while循環(huán)語句等，隨著5.0的發(fā)布變身為一個通用腳本語言，支持了這些語言特性。

文檔：https://www.yuque.com/boyan-avfmj/aviatorscript?

2.2 MVEL (MVFLEX Expression Language)

MVEL是一種混合的動態(tài)/靜態(tài)類型的、可嵌入Java平臺的表達(dá)式語言，MVEL被眾多Java項目使用。MVEL 在很大程度上受到 Java 語法的啟發(fā)，但也有一些本質(zhì)區(qū)別，目的是使其作為一種表達(dá)式語言更加高效，例如直接支持集合、數(shù)組和字符串匹配的操作符，以及正則表達(dá)式。最早版本發(fā)布于2007年。

文檔：http://mvel.documentnode.com/?

2.3 OGNL (Object-Graph Navigation Language)

OGNL 是 Object-Graph Navigation Language（對象圖導(dǎo)航語言）的縮寫；它是一種表達(dá)式語言，用于獲取和設(shè)置 Java 對象的屬性，以及其他額外功能，如列表投影和選擇以及 lambda 表達(dá)式。于2005年發(fā)布2.1.4版。

文檔：https://commons.apache.org/dormant/commons-ognl/language-guide.html?

2.4 SpEL (Spring Expression Language)

SpEL是一種功能強大的表達(dá)式語言，支持在運行時查詢和操作對象圖。該語言的語法與 Unified EL 相似，但提供了更多的功能，其中最主要的是方法調(diào)用和基本的字符串模板功能。

文檔：https://docs.spring.io/spring-framework/docs/5.3.x/reference/html/core.html#expressions?

2.5 QLExpress

由阿里的電商業(yè)務(wù)規(guī)則、表達(dá)式（布爾組合）、特殊數(shù)學(xué)公式計算（高精度）、語法分析、腳本二次定制等強需求而設(shè)計的一門動態(tài)腳本引擎解析工具。在阿里集團有很強的影響力，同時為了自身不斷優(yōu)化、發(fā)揚開源貢獻精神，于2012年開源。

文檔：https://github.com/alibaba/QLExpress?

2.6 JEXL (Java Expression Language)

JEXL 旨在促進在 Java 編寫的應(yīng)用程序和框架中實現(xiàn)動態(tài)腳本功能。 JEXL 基于對 JSTL 表達(dá)式語言的一些擴展實現(xiàn)了一種表達(dá)式語言，支持 shell 腳本或 ECMAScript 中的大部分構(gòu)想。1.0版發(fā)布于2005年。

文檔：https://commons.apache.org/proper/commons-jexl/reference/syntax.html?

2.7 JUEL (Java Unified Expression Language)

JUEL 是統(tǒng)一表達(dá)式語言 (EL) 的實現(xiàn)，該語言是 JSP 2.1 標(biāo)準(zhǔn) (JSR-245) 的一部分，已在 JEE5 中引入。此外，JUEL 2.2 實現(xiàn)了 JSP 2.2 維護版本規(guī)范，完全符合 JEE6 標(biāo)準(zhǔn)。于2006年發(fā)布2.1.0版本，2.2.7發(fā)布于2014年。

文檔：https://juel.sourceforge.net/guide/start.html?

2.8 Janino

Janino是一個超小、超快的Java編譯器，也可以用作表達(dá)式引擎，它的性能非常出色，根據(jù)官網(wǎng)介紹，Apache Spark、Apache Flink、Groovy等優(yōu)秀的開源項目都在用Janino。

文檔：http://janino-compiler.github.io/janino/?

由于Janino實際是一個Java編譯器，理論上其性能應(yīng)該更接近于直接執(zhí)行Java代碼，其次作為表達(dá)式引擎使用起來比較復(fù)雜。因此，下面的對比中，Janino不參與比較，可以將其作為一個參照。

2.9 其他

如下一些表達(dá)式引擎雖然也常見于各技術(shù)博客，但由于長期沒有更新維護，因此沒有納入此次選型比較

Fel

Fel是輕量級的高效的表達(dá)式計算引擎。Fel源自于企業(yè)項目，設(shè)計目標(biāo)是為了滿足不斷變化的功能需求和性能需求。項目托管于Google Code，上次更新是2012年，已經(jīng)十幾年沒有更新了，所以沒有納入此次選型。

ik-expression

IK Expression是一個開源的（OpenSource)，可擴展的（Extensible），基于java語言開發(fā)的一個超輕量級（Super lightweight）的公式化語言解析執(zhí)行工具包。2009年2月發(fā)布第一個版本，2009年10月發(fā)布最后一個版本后再沒有新版本發(fā)布，所以沒有納入此次選型。

JSEL

JSEL是一個兼容 JavaScript 運算規(guī)則的簡單的表達(dá)式解釋引擎，你可以通過Map接口，或者JavaBean給出一個變量集合，能后通過表達(dá)式從這個集合中抽取變量，再通過表達(dá)式邏輯生成你需要的數(shù)據(jù)。2009年發(fā)布第一個版本，2011年發(fā)布最后一個版本后未再更新，所以沒有納入此次選型。

此外規(guī)則引擎如 Drools， urule， easy-rules 等不參與此次選型比較。相對比較成熟完善的腳本語言如Groovy，JavaScript等也不參與選型比較。這篇文章主要針對相對輕量簡單的表達(dá)式引擎進行選型。

?

3 技術(shù)棧選型評估

選擇表達(dá)式引擎，我們希望其社區(qū)支持情況良好、實現(xiàn)復(fù)雜度適中、執(zhí)行速度快、安全并且簡單易學(xué)。所以，接下來將從社區(qū)支持情況、引入的大小和依賴、性能、安全性、使用案例和語法幾個方面對幾種表達(dá)式引擎進行比較評估。

3.1 社區(qū)支持情況

社區(qū)支持情況可以輔助評估項目的健康度，有問題是不是能及時解決，項目是不是能持續(xù)演進等等，下面列出了GitHub star，watch，fork，last commit等數(shù)據(jù)，可以作為參考，由于數(shù)據(jù)隨著時間推移會產(chǎn)生變化，以下僅針對2023.10.29的數(shù)據(jù)進行分析。

由于 Spring 項目被廣泛使用，而SpEl又是Spring的一個子項目，所以從各項數(shù)據(jù)來看SpEl的社區(qū)支持情況是最好的。下面先排除SpEl分析其他幾個表達(dá)式引擎。

QLExpress，AviatorScript 和 MVEL 在國內(nèi)使用比較多，這可能是他們star，watch，fork數(shù)較高的原因。說明這幾個項目受歡迎度，受認(rèn)可度，影響力應(yīng)該較高。

從issues，pull requests數(shù)來分析，可以看到 MVEL，AviatorScript 和 QLExpress 高于其他腳本引擎，說明他們的用戶需求和反饋較多，也可能意味著項目面臨較多問題和挑戰(zhàn)。

MVEL，JEXL，OGNL 均有較多貢獻者參與。他們的社區(qū)協(xié)作、項目可持續(xù)性方面應(yīng)該都比較不錯。

綜合以上分析，除SpEl外，QLExpress，AviatorScript 和 MVEL 的社區(qū)支持情況都相對較好。

3.2 引入大小和依賴

代碼大小和依賴可以輔助評估代碼的復(fù)雜性，下面列出了各個Github倉庫的代碼大小，可以作為一個參考（實際并不完全準(zhǔn)確反映其實現(xiàn)的復(fù)雜性）。

以下是2023.10.29的數(shù)據(jù)

JUEL，QLExpress代碼大小最小，都在600多KB；其次是 OGNL 1MB多一點；AviatorScript，MVEL，JEXL 大小都在2MB左右；SpEl由于在 spring-framework 倉庫中，上表中統(tǒng)計的是 spring-framework 的總量，單純看 SpEl 的模塊 spring-expression 的話，大小是1.3MB左右。但是其還依賴了 spring-core 和 spring-jcl，再含這兩個的話，大小 7.4MB左右。

我們再結(jié)合各個項目的依賴來分析一下。

+- org.mvel:mvel2:jar:2.5.0.Final:compile
+- com.googlecode.aviator:aviator:jar:5.3.3:compile
+- com.alibaba:QLExpress:jar:3.3.1:compile
|  +- commons-beanutils:commons-beanutils:jar:1.8.2:compile
|  |  - (commons-logging:commons-logging:jar:1.1.1:compile - omitted for conflict with 1.2)
|  - commons-lang:commons-lang:jar:2.4:compile
+- org.codehaus.janino:janino:jar:3.1.10:compile
|  - org.codehaus.janino:commons-compiler:jar:3.1.10:compile
+- ognl:ognl:jar:3.4.2:compile
|  - org.javassist:javassist:jar:3.29.2-GA:compile
+- org.apache.commons:commons-jexl3:jar:3.3:compile
|  - commons-logging:commons-logging:jar:1.2:compile
+- org.springframework:spring-expression:jar:5.3.29:compile
|  - org.springframework:spring-core:jar:5.3.29:compile
|     - org.springframework:spring-jcl:jar:5.3.29:compile
+- de.odysseus.juel:juel-api:jar:2.2.7:compile
+- de.odysseus.juel:juel-impl:jar:2.2.7:compile
+- de.odysseus.juel:juel-spi:jar:2.2.7:compile

除了SpEl外，QLExpress，OGNL，JEXL也都有其他依賴。

如果考慮 commons-beanutils， commons-lang， commons-logging 三個依賴，QLExpress 引入的大小在 10MB左右。

如果考慮 javassist 依賴，OGNL 引入的大小是4MB多。

如果考慮 commons-logging 依賴，JEXL 引入的大小是2.5MB左右。

綜合來看，JUEL，AviatorScript，MVEL，JEXL 在引入大小和依賴方面要好于其他。

3.3 性能

較好的性能意味著系統(tǒng)能夠快速地響應(yīng)用戶的請求，減少等待時間，提升體驗。

性能方面主要通過 JMH 在字面量表達(dá)式、含有變量的表達(dá)式以及含有方法調(diào)用的表達(dá)式等使用場景對幾個表達(dá)式引擎進行測試。

JMH（Java Microbenchmark Harness），是用于代碼微基準(zhǔn)測試的工具套件，主要是基于方法層面的基準(zhǔn)測試，精度可以達(dá)到納秒級。該工具是由 Oracle 內(nèi)部實現(xiàn) JIT 的大牛們編寫的，他們應(yīng)該比任何人都了解 JIT 以及 JVM 對于基準(zhǔn)測試的影響。

由于不同表達(dá)式引擎語法或特性稍有差別，下面測試中對于差異項會進行說明。

性能測試代碼地址： GitHub

3.3.1 字面量表達(dá)式

：1000 + 100.0 * 99 - (600 - 3 * 15) / (((68 - 9) - 3) * 2 - 100) + 10000 % 7 * 71

：6.7 - 100 > 39.6 ? 5 == 5 ? 4 + 5 : 6 - 1 : !(100 % 3 - 39.0 < 27) ? 8 * 2 - 199 : 100 % 3

說明：

由于QlExpress執(zhí)行第2個表達(dá)式時報錯，需要增加圓括號，實際執(zhí)行的是6.7 - 100 > 39.6 ? (5 == 5 ? 4 + 5 : 6 - 1) : (!(100 % 3 - 39.0 < 27) ? 8 * 2 - 199 : 100 % 3)

結(jié)果分析:

可以明顯看到 JEXL，JUEL，QlExpress這三個表達(dá)式引擎性能明顯不如其他引擎。

SpEl 在執(zhí)行第1個算數(shù)操作時表現(xiàn)出色，但是在執(zhí)行第2個嵌套三元操作時明顯不如AviatorScript，MVEL，OGNL引擎。

此輪測試中 AviatorScript，OGNL，MVEL表現(xiàn)出色。AviatorScript，OGNL 執(zhí)行兩個表達(dá)式表現(xiàn)都比較出色，其中AviatorScript略好于OGNL。 MVEL 在執(zhí)行第1個算數(shù)操作時表現(xiàn)最出色，但是在執(zhí)行第2個嵌套三元操作時慢于AviatorScript，OGNL引擎。

3.3.2 含有變量的表達(dá)式

：pi * d + b - (1000 - d * b / pi) / (pi + 99 - i * d) - i * pi * d / b

：piDecimal * dDecimal + bDecimal - (1000 - dDecimal * bDecimal / piDecimal) / (piDecimal + 99 - iDecimal * dDecimal) - iDecimal * piDecimal * dDecimal / bDecimal

：i * pi + (d * b - 199) / (1 - d * pi) - (2 + 100 - i / pi) % 99 == i * pi + (d * b - 199) / (1 - d * pi) - (2 + 100 - i / pi) % 99

：(clientVersion == '1.9.0' || clientVersion == '1.9.1' || clientVersion == '1.9.2') && deviceType == 'Xiaomi' && weight >= 4 && osVersion == 'Android 9.0' && osType == 'Android' && clientIp != null && requestTime <= now&& customer.grade > 1 && customer.age > 18

說明：

?由于不同的表達(dá)式引擎在執(zhí)行第2個表達(dá)式時底層實現(xiàn)除法時有所差別，MVEL，AviatorScript，JEXL 執(zhí)行decimal.divide(otherDecimal, java.math.MathContext.DECIMAL128)，其他實際執(zhí)行的是decimal.divide(otherDecimal, scale, roundingMode)，只是參數(shù)略有不同，分析時分組進行。

?由于QlExpress執(zhí)行第3個表達(dá)式時報錯，不支持非整型mod操作，需要增加類型轉(zhuǎn)換，實際執(zhí)行的是i * pi + (d * b - 199) / (1 - d * pi) - (int)(2 + 100 - i / pi) % 99 == i * pi + (d * b - 199) / (1 - d * pi) - (int)(2 + 100 - i / pi) % 99

?由于AviatorScript執(zhí)行第4個表達(dá)式時報錯，null的字面量是nil，實際執(zhí)行的是(clientVersion == '1.9.0' || clientVersion == '1.9.1' || clientVersion == '1.9.2') && deviceType == 'Xiaomi' && weight >= 4 && osVersion == 'Android 9.0' && osType == 'Android' && clientIp != nil && requestTime <= now&& customer.grade > 1 && customer.age > 18

結(jié)果分析：

第1個基本類型包裝類的算術(shù)計算 SpEl 最優(yōu)。其次是AviatorScript，MVEL，OGNL。而JEXL，JUEL，QlExpress則不如其他引擎。

第2個BigDecimal類型的算術(shù)計算。由于底層實現(xiàn)不同，分為兩組。第1組 MVEL、AviatorScript和JEXL，AviatorScript 優(yōu)于 MVEL 優(yōu)于 JEXL。第2組 JUEL，QlExpress，OGNL和SpEl，性能由優(yōu)到差依次是 OGNL，SpEl，JUEL，QlExpress。并且第1組由于精度更高，性能明顯都差于第2組。

第3個含有基本類型包裝類算數(shù)計算的布爾表達(dá)式。SpEl 最優(yōu)，AviatorScript 次之，接下來依次是 OGNL, MVEL，JUEL，JEXL，QlExpress。

第4個含有字符串比較的布爾表達(dá)式。AviatorScript，MVEL，JEXL，OGNL 性能優(yōu)于 JUEL，QlExpress，SpEl。

3.3.3 含有方法調(diào)用的表達(dá)式

：new java.util.Date()

：s.substring(b.d)

：s.substring(b.d).substring(a, b.c.e)

說明：

?由于 JUEL 執(zhí)行new java.util.Date()時報錯，不支持new實例，本輪實際執(zhí)行的是自定義函數(shù)fn:date()

?由于 AviatorScript 執(zhí)行s.substring時報錯，需使用其提供的內(nèi)部函數(shù)，本輪實際執(zhí)行的是其內(nèi)部函數(shù)string.substring

結(jié)果分析：

此輪測試中 SpEl 的表現(xiàn)最優(yōu)，甚至比Janino還要快。MVEL，AviatorScript次之，在執(zhí)行構(gòu)造方法時MVEL要好于AviatorScript。JEXL 表現(xiàn)也比較出色。QlExpress，JUEL，OGNL這三個表達(dá)式引擎則不如其他引擎。

3.3.4 總結(jié)

綜合以上測試結(jié)果，AviatorScript，SpEl，MVEL，OGNL性能表現(xiàn)相對較好。

AviatorScript 性能相對較好，表現(xiàn)均衡，但其語法相較其他引擎跟Java的差異略大。

SpEl 除了在個別場景下性能較差，大部分場景表現(xiàn)非常出色，尤其是在字面量和含有變量的算數(shù)計算及方法調(diào)用場景下。

MVEL 性能表現(xiàn)相對均衡，含有變量的算術(shù)計算略差于AviatorScript，其在字面量算術(shù)計算，方法調(diào)用場景下表現(xiàn)都非常出色。

OGNL 性能表現(xiàn)也相對均衡，但方法調(diào)用場景下表現(xiàn)不佳。

3.4 安全

引入表達(dá)式引擎，應(yīng)該重視系統(tǒng)的安全性和可靠性，比如要防止在不可信環(huán)境中被注入惡意腳本，越權(quán)執(zhí)行某些系統(tǒng)命令或使應(yīng)用停止服務(wù)等。安全性方面主要通過漏洞披露、安全指南和配置比較幾種表達(dá)式引擎。

3.4.1 漏洞

首先在https://cve.mitre.org/cve/search_cve_list.html通過關(guān)鍵字搜索的方式粗略了解一下不同表達(dá)式引擎被公開的漏洞。這種方式可能不是非常的準(zhǔn)確，由于不同表達(dá)式引擎的使用場景、使用方式、關(guān)注度的不同可能導(dǎo)致被公開的漏洞存在差異。比如我們所熟悉的 OGNL、SpEl 的關(guān)鍵字出現(xiàn)在漏洞中的頻率明顯高于其他表達(dá)式引擎。OGNL 在MyBatis和Struts中被使用，SpEl則在Spring中被廣泛使用，這兩個表達(dá)式引擎會被大部分項目間接使用，直接將用戶輸入作為表達(dá)式的一部分執(zhí)行，很容易導(dǎo)致出現(xiàn)漏洞。

我們可以從這些公布的漏洞中了解不同表達(dá)式引擎可能存在的安全隱患及其修復(fù)情況，在使用過程中盡可能避免出現(xiàn)類似問題。

此外，不推薦將表達(dá)式執(zhí)行直接開放到不可信的環(huán)境，如果確實需要，應(yīng)該詳細(xì)了解選擇的表達(dá)式引擎，是否提供了必要的設(shè)置選項可以避免某些安全隱患。

3.4.2 安全設(shè)置

AviatorScript，QLExpress，JEXL均從不同程度提供了一些安全選項設(shè)置。

AviatorScript

?設(shè)置白名單

// 在new語句和靜態(tài)方法調(diào)用中允許使用的類白名單 默認(rèn) null 表示無限制
AviatorEvaluator.setOption(Options.ALLOWED_CLASS_SET, Sets.newHashSet(List.class));
// 在new語句和靜態(tài)方法調(diào)用中允許使用的類白名單 包含子類 默認(rèn) null 表示無限制
AviatorEvaluator.setOption(Options.ASSIGNABLE_ALLOWED_CLASS_SET, Sets.newHashSet(List.class));

?防止死循環(huán)

// 循環(huán)最大次數(shù) 默認(rèn) 0 表示無限制
AviatorEvaluator.setOption(Options.MAX_LOOP_COUNT, 10000);

?特性開關(guān)

// 關(guān)閉某些特性
AviatorEvaluator.getInstance().disableFeature(Feature.Module);
AviatorEvaluator.getInstance().disableFeature(Feature.NewInstance);
// 只開啟需要的特性
AviatorEvaluator.setOption(Options.FEATURE_SET, Feature.asSet(Feature.If));

QLExpress

?開啟沙箱模式

QLExpressRunStrategy.setSandBoxMode(true);

在沙箱模式中，不可以：

?import Java 類

?顯式引用 Java 類，比如String a = 'mmm'

?取 Java 類中的字段：a = new Integer(11); a.value

?調(diào)用 Java 類中的方法：Math.abs(12)

可以：

?使用 QLExpress 的自定義操作符/宏/函數(shù)，以此實現(xiàn)與應(yīng)用的受控交互

?使用. 操作符獲取 Map 的 key 對應(yīng)的 value，比如 a 在應(yīng)用傳入的表達(dá)式中是一個 Map，那么可以通過 a.b 獲取

?所有不涉及應(yīng)用 Java 類的操作

?設(shè)置白名單

// 設(shè)置編譯期白名單
QLExpressRunStrategy.setCompileWhiteCheckerList(Arrays.asList(
    // 精確設(shè)置
    CheckerFactory.must(Date.class),
    // 子類設(shè)置
    CheckerFactory.assignable(List.class)
));
// 設(shè)置運行時白名單// 必須將該選項設(shè)置為 true
QLExpressRunStrategy.setForbidInvokeSecurityRiskMethods(true);
// 有白名單設(shè)置時, 則黑名單失效
QLExpressRunStrategy.addSecureMethod(RiskBean.class, "secureMethod");

?設(shè)置黑名單

// 必須將該選項設(shè)置為 true
QLExpressRunStrategy.setForbidInvokeSecurityRiskMethods(true);
// 這里不區(qū)分靜態(tài)方法與成員方法, 寫法一致
// 不支持重載, riskMethod 的所有重載方法都會被禁止
QLExpressRunStrategy.addSecurityRiskMethod(RiskBean.class, "riskMethod");

QLExpess 目前默認(rèn)添加的黑名單有：

?java.lang.System.exit

?java.lang.Runtime.exec

?java.lang.ProcessBuilder.start

?java.lang.reflect.Method.invoke

?java.lang.reflect.Class.forName

?java.lang.reflect.ClassLoader.loadClass

?java.lang.reflect.ClassLoader.findClass

?防止死循環(huán)

//可通過timeoutMillis參數(shù)設(shè)置腳本的運行超時時間:1000ms
Object r = runner.execute(express, context, null, true, false, 1000);

?

JEXL

?使用沙箱

// 使用中應(yīng)該通過JexlSandbox的重載構(gòu)造方法進行配置
new JexlBuilder().sandbox(new JexlSandbox()).create();

?設(shè)置白名單權(quán)限

new JexlBuilder().permissions(JexlPermissions.RESTRICTED.compose("com.jd.*")).create();

?特性開關(guān)

// 關(guān)閉循環(huán)、new 實例，import等特性
new JexlBuilder().features(new JexlFeatures().loops(false).newInstance(false).importPragma(false)).create();

?

3.5 使用案例

從業(yè)界使用情況可以了解不同表達(dá)式引擎的可行性、生態(tài)和整合性，以及最佳實踐，進而借鑒。從下表可以看到AviatorScript，MVEL，QLExpress在國內(nèi)業(yè)務(wù)線均有使用案例，有些企業(yè)也有文章輸出，我們可以借鑒使用。

3.6 語法

易于理解和使用的語法可以提高開發(fā)效率，并降低學(xué)習(xí)成本。接下來從類型、操作符、控制語句、集合、方法定義幾方面比較一下不同表達(dá)式引擎的語法設(shè)計。

類型方面，AviatorScript 設(shè)計了特有的類型，使用時需要注意其類型轉(zhuǎn)換的優(yōu)先級long->bigint->decimal->double。AviatorScript、MVEL、OGNL、JEXL都支持BigInteger、BigDecimal字面量，這意味著進行精確計算時可以使用字面量，將更方便，如10.24B就表示一個BigDecimal字面量（AviatorScript中BigDecimal字面量后綴是M）。此外AviatorScript、QLExpress還支持高精度計算的設(shè)置項。

操作符方面，QLExpress支持替換、自定義操作符及添加操作符別名，這可能有助于簡化復(fù)雜表達(dá)式或使表達(dá)式更加直觀，不過添加預(yù)置函數(shù)應(yīng)該可以達(dá)到差不多的效果。AviatorScript也支持自定義部分操作符，不過支持?jǐn)?shù)量相當(dāng)有限。AviatorScript、SpEl、JEXL支持正則匹配操作符。

控制語句方面，除OGNL、SpEl、JUEL不支持控制語句外，其他都支持，不過需要注意 AviatorScript 的 else if 語法有些特殊寫作 elsif，foreach語句跟Java也有所不同。

集合方面，除JUEL外其他都提供了快捷定義的方式，只不過語法不同。

函數(shù)定義方面，SpEl、JUEL均不支持，OGNL支持偽lambda定義，其他都支持定義函數(shù)。QLExpress不支持定義lambda。

綜合來看，和Java語法都或多或少存在一些差異。AviatorScript設(shè)計了自己特有的一些語法，使用的話需要熟悉一下。QLExpress支持自定義操作符，可以使表達(dá)式看起來更直觀。MVEL、JEXL的語法可能更接近Java，讓人更容易接受一些。OGNL、SpEl、JUEL的語法更簡單一些，不支持控制語句和函數(shù)定義，當(dāng)然也可以通過預(yù)置一些函數(shù)變通解決一些較復(fù)雜的問題。

?

4 選型建議

社區(qū)方面，SpEl無疑是最活躍的。AviatorScript，QLExpress，MVEL在國內(nèi)很受歡迎，QLExpress 有阿里背書。

代碼大小和依賴方面，AviatorScript，MVEL 依賴少，并且代碼大小也偏小。

性能方面，如果你使用表達(dá)式引擎執(zhí)行字面量算術(shù)計算或方法調(diào)用偏多可以選用SpEl，MVEL。如果希望整體性能表現(xiàn)較好可以選用 AviatorScript。

安全方面，如果想自定義安全選項，可以考慮 AviatorScript，QLExpress和JEXL。

使用案例方面，AviatorScript，MVEL，QLExpress在國內(nèi)都有實際使用案例可循。

語法方面，可能存在一些主觀因素，僅供參考，個人覺得MVEL、JEXL的語法設(shè)計使用起來會更容易一些。

通過對以上幾個方面的評估和分析，希望可以幫助團隊基于自身情況及偏好選擇最適合自己項目的Java表達(dá)式引擎。

?

5 參考資料

QLExpress： https://github.com/alibaba/QLExpress?

AviatorScript： https://github.com/killme2008/aviatorscript?

MVEL： https://github.com/mvel/mvel?

OGNL： https://github.com/orphan-oss/ognl?

SpEl： https://github.com/spring-projects/spring-framework?

Janino： https://github.com/janino-compiler/janino?

JUEL： https://github.com/beckchr/juel?

JEXL： https://github.com/apache/commons-jexl?

Fel： https://github.com/dbcxy/fast-el?

ik-expression： https://code.google.com/archive/p/ik-expression/?

JSEL： https://code.google.com/archive/p/lite/wikis/JSEL.wiki?

JMH： https://www.cnblogs.com/wupeixuan/p/13091381.html

審核編輯 黃宇