1. 更新系统及软件包
在安装Python前，务必通过sudo apt update更新系统包列表，再通过sudo apt upgrade升级已安装的软件包，确保系统基础环境的安全性与兼容性。这一步能修复已知漏洞，避免因旧版本软件引发的安全风险。
2. 优先使用官方/可信来源安装Python
Ubuntu系统自带Python 3（如Ubuntu 20.04 LTS默认安装Python 3.8），可通过sudo apt install python3直接获取官方维护的版本，无需手动下载。若需特定版本（如Python 3.9），可通过deadsnakes PPA（sudo add-apt-repository ppa:deadsnakes/ppa）添加可信源后安装，避免从非官方渠道下载导致的恶意代码植入。
3. 使用虚拟环境隔离项目依赖
通过python3 -m venv myenv创建虚拟环境，再用source myenv/bin/activate激活，将项目依赖与系统全局Python环境隔离。这能防止不同项目间的依赖冲突，避免全局安装的库被恶意修改或污染系统环境。
4. 定期更新Python及相关依赖
使用pip list --outdated检查过时的Python库，通过pip install --upgrade package_name升级到最新版本，及时修复已知安全漏洞。同时，通过sudo apt update && sudo apt upgrade保持系统包的最新状态，确保Python解释器及依赖库的安全性。
5. 避免使用不安全函数与编程实践
在Python代码中，禁止使用eval()、exec()等动态执行函数（易引发代码注入），处理用户输入时需进行输入验证（如检查数据类型、长度，使用正则表达式匹配格式）、参数化查询（防止SQL注入）。存储用户密码时，使用bcrypt、argon2等安全哈希算法，避免明文存储。
6. 配置防火墙与权限控制
使用ufw（Uncomplicated Firewall）限制对Python服务的访问，仅开放必要端口（如sudo ufw allow 80/tcp允许HTTP流量），默认拒绝所有入站连接。同时，为Python进程分配最小必要权限（如用普通用户而非root运行），避免权限过高导致的安全风险。
7. 使用安全工具进行代码审查
通过静态代码分析工具（如Bandit、SonarLint、Pysa）扫描Python代码，识别潜在的安全漏洞（如SQL注入、XSS攻击、硬编码密码）。集成到开发流程中，定期运行检查，确保代码符合安全规范。
8. 监控与日志审计
启用系统及Python应用的详细日志记录（如journalctl -u python-service查看服务日志），定期审计日志文件，检测异常活动（如频繁的登录失败、未授权访问）。使用监控工具（如Prometheus+Grafana）实时监控应用性能与安全指标，及时响应安全事件。
