1. 使用最新的 Python 版本
使用最新版本的 Python 可以确保你获得最新的安全补丁和性能改进。Python 的开发团队会定期发布新版本，修复已知的安全漏洞。
import sys
# 检查当前 Python 版本
print(f"当前 Python 版本: {sys.version}")
2. 避免使用eval 和exec
eval 和exec 函数可以执行任意 Python 代码，这可能会导致严重的安全问题。尽量避免使用它们，除非你完全信任输入的数据。
# 不安全的示例
user_input = "os.system('rm -rf /')"
# eval(user_input)? # 千万不要这样做！
# 安全的替代方案
def safe_eval(input_str):
? ? allowed_names = {"__builtins__": None}
? ? return eval(input_str, allowed_names)
# 测试安全的 eval
try:
? ? result = safe_eval("2 + 2")
? ? print(result)? # 输出: 4
except Exception as e:
? ? print(f"发生错误: {e}")
3. 使用环境变量管理敏感信息
将敏感信息（如 API 密钥、数据库密码等）存储在环境变量中，而不是硬编码在代码中。这样可以减少泄露风险。
import os
# 从环境变量中获取 API 密钥
api_key = os.getenv("API_KEY")
if api_key:
? ? print(f"API 密钥: {api_key}")
else:
? ? print("API 密钥未设置")
4. 输入验证和清理
对用户输入进行严格的验证和清理，防止 SQL 注入、XSS 攻击等安全问题。
import re
def validate_email(email):
? ? pattern = r'^[a-zA-Z0-9._%+-]+@[a-zA-Z0-9.-]+\.[a-zA-Z]{2,}$'
? ? if re.match(pattern, email):
? ? ? ? return True
? ? else:
? ? ? ? return False
# 测试邮箱验证
email = "example@example.com"
if validate_email(email):
? ? print(f"{email} 是有效的邮箱地址")
else:
5. 使用 HTTPS
确保你的应用使用 HTTPS 进行通信，以?；な荽涞陌踩??？梢允褂胷equests 库来发送 HTTPS 请求。
import requests
url = "https://api.example.com/data"
response = requests.get(url)
if response.status_code == 200:
? ? print(response.json())
else:
? ? print(f"请求失败，状态码: {response.status_code}")
6. 使用安全的库和框架
选择经过广泛测试和社区认可的安全库和框架。例如，使用Flask 或Django 来开发 Web 应用。
from flask import Flask, request
app = Flask(__name__)
@app.route('/hello', methods=['GET'])
def hello():
? ? name = request.args.get('name', 'World')
? ? return f"Hello, {name}!"
if __name__ == '__main__':
? ? app.run(ssl_context='adhoc')? # 使用自签名证书
7. 定期进行安全审计
定期对代码进行安全审计，检查潜在的安全漏洞?？梢允褂霉ぞ呷鏐andit 来帮助你进行代码审计。
# 安装 Bandit
pip install bandit
# 运行 Bandit
bandit -r your_project_directory
8. 使用日志记录
合理使用日志记录，帮助你监控应用的运行情况，及时发现并处理异常。
import logging
logging.basicConfig(level=logging.INFO, format='%(asctime)s - %(levelname)s - %(message)s')
def divide(a, b):
? ? try:
? ? ? ? result = a / b
? ? ? ? logging.info(f"除法结果: {result}")
? ? ? ? return result
? ? except ZeroDivisionError:
? ? ? ? logging.error("除数不能为零")
? ? ? ? return None
# 测试除法函数
result = divide(10, 0)
print(f"结果: {result}")
9. 使用依赖管理工具
使用依赖管理工具（如pipenv 或poetry）来管理项目的依赖关系，确保使用的库是安全的。
# 安装 pipenv
# pip install pipenv
# 创建虚拟环境并安装依赖
# pipenv install requests
10. 使用静态代码分析工具
使用静态代码分析工具（如PyLint 或flake8）来检查代码质量，发现潜在的安全问题。
# 安装 PyLint
# pip install pylint
# 运行 PyLint
# pylint your_script.py
实战案例：构建一个安全的 Flask 应用
假设我们要构建一个简单的 Flask 应用来处理用户注册和登录。我们将应用上述的一些安全策略来?；の颐堑挠τ?。
from flask import Flask, request, jsonify
import os
import logging
import re
from flask_bcrypt import Bcrypt
app = Flask(__name__)
bcrypt = Bcrypt(app)
# 设置日志
logging.basicConfig(level=logging.INFO, format='%(asctime)s - %(levelname)s - %(message)s')
# 验证邮箱地址
def validate_email(email):
? ? pattern = r'^[a-zA-Z0-9._%+-]+@[a-zA-Z0-9.-]+\.[a-zA-Z]{2,}$'
? ? if re.match(pattern, email):
? ? ? ? return True
? ? else:
? ? ? ? return False
# 注册用户
@app.route('/register', methods=['POST'])
def register():
? ? data = request.json
? ? email = data.get('email')
? ? password = data.get('password')
? ? if not validate_email(email):
? ? ? ? return jsonify({"error": "无效的邮箱地址"}), 400
? ? # 哈希密码
? ? hashed_password = bcrypt.generate_password_hash(password).decode('utf-8')
? ? # 存储用户信息（这里假设使用数据库）
? ? user_info = {
? ? ? ? "email": email,
? ? ? ? "password": hashed_password
? ? }
? ? logging.info(f"用户 {email} 注册成功")
? ? return jsonify({"message": "注册成功"}), 201
# 登录用户
@app.route('/login', methods=['POST'])
def login():
? ? data = request.json
? ? email = data.get('email')
? ? password = data.get('password')
? ? if not validate_email(email):
? ? ? ? return jsonify({"error": "无效的邮箱地址"}), 400
? ? # 假设从数据库中获取用户信息
? ? user_info = {
? ? ? ? "email": email,
? ? ? ? "password": "$2b$12$9X8Q7q8W5z6Y7z8Q9X8Q7z8Q9X8Q7z8Q9X8Q7z8Q9X8Q7z8Q9X8Q7z"
? ? }
? ? if bcrypt.check_password_hash(user_info['password'], password):
? ? ? ? logging.info(f"用户 {email} 登录成功")
? ? ? ? return jsonify({"message": "登录成功"}), 200
? ? else:
? ? ? ? logging.warning(f"用户 {email} 登录失败")
? ? ? ? return jsonify({"error": "用户名或密码错误"}), 401
if __name__ == '__main__':
? ? app.run(ssl_context='adhoc')? # 使用自签名证书
总结
本文介绍了 10 个?；?Python 代码安全的策略，包括使用最新版本的 Python、避免使用eval 和exec、使用环境变量管理敏感信息、输入验证和清理、使用 HTTPS、使用安全的库和框架、定期进行安全审计、使用日志记录、使用依赖管理工具和静态代码分析工具。通过这些策略，你可以大大提高代码的安全性。
