Python安全漏洞如何防范

Python安全漏洞防范清单

一 基础安全原则

• 坚持最小权限原则：进程、数据库账户、API Token 只授予完成任务所必需的最小权限。
• 对所有用户输入进行严格校验与清理，输出到不同上下文时进行输出编码（如 HTML、Shell、SQL 等）。
• 优先使用参数化查询/预编译语句与成熟ORM，避免字符串拼接构造语句。
• 使用经过审计的安全库（如密码哈希用 bcrypt），并保持依赖与运行时及时更新。

二 Web应用重点风险与对策

• 注入类（SQL/命令/NoSQL/ORM）：
  • 使用参数化查询或 ORM 方法；
  • 执行系统命令时避免 shell=True，改用列表传参，并用 shlex.quote/shlex.split 做严格转义。
• 跨站脚本（XSS）：
  • 对输出到页面的数据进行HTML转义（如 Python 内置 html.escape 或模板引擎自动转义）。
• 跨站请求伪造（CSRF）：
  • 在表单与敏感操作中使用CSRF 令牌（如 Flask-WTF/CSRFProtect）。
• 认证与会话：
  • 口令存储使用bcrypt/scrypt/PBKDF2 等强哈希；
  • 会话固定、会话过期、并发登录控制与安全的 Cookie 属性（HttpOnly、Secure、SameSite）。
• 文件上传：
  • 校验文件类型/大小/扩展名，存储到隔离目录，重命名避免覆盖，必要时做病毒扫描与内容类型白名单。
• 错误处理与日志：
  • 生产环境避免泄露堆栈与敏感信息，记录安全审计日志（谁、何时、何地、做了什么）。

三 语言与依赖的高风险点与修复

• 反序列化风险：
  • 禁止对不受信任数据使用 pickle.load；改用 JSON 或安全序列化方案。
  • YAML 仅用 yaml.safe_load，避免 yaml.load。
• XML 解析风险：
  • 处理不可信 XML 时使用 defusedxml 替代标准库，防御 XXE/Billion Laughs 等 DoS/信息泄露。
• 临时文件：
  • 不用 mktemp() 生成“裸文件名”，改用 tempfile.mkstemp/tempfile.NamedTemporaryFile 等安全创建方式。
• 断言误用：
  • 生产禁用 assert 做权限校验（优化模式会移除），权限判断用显式条件与异常处理。
• 计时攻击：
  • 比较口令/令牌等机密值使用 secrets.compare_digest，避免可预测的逐字符比较。
• 依赖与运行环境：
  • 使用虚拟环境隔离依赖，定期升级 Python 解释器与第三方包，关注安全通告与 CVE；警惕包名混淆与供应链攻击。

四 快速检查清单与示例

• 快速检查清单
  • 输入校验与输出编码是否覆盖所有入口与所有渲染上下文（HTML/JS/URL/Shell）。
  • 数据库与命令调用是否全部采用参数化/列表传参，无字符串拼接。
  • 口令是否使用 bcrypt/scrypt/PBKDF2，是否禁用明文/弱口令。
  • 是否启用 CSRF 令牌、安全的会话与 Cookie 策略。
  • 文件上传是否做类型/大小/内容校验与隔离存储。
  • 是否用 defusedxml、yaml.safe_load、tempfile 等安全替代。
  • 是否避免 assert 做访问控制，机密比较是否用 secrets.compare_digest。
  • 是否使用虚拟环境并持续更新依赖与运行时。
  • 是否具备安全日志与错误处理策略（不泄露敏感信息）。
• 安全代码示例
  • SQL 注入防护（参数化查询）
    • 不安全：
      • query = f"SELECT * FROM users WHERE username=‘{username}’"
    • 安全：
      • cursor.execute(“SELECT * FROM users WHERE username=?”, (username,))
  • XSS 防护（HTML 转义）
    • from markupsafe import escape
    • safe = escape(user_input)
  • 口令存储（bcrypt）
    • import bcrypt
    • hashed = bcrypt.hashpw(password.encode(), bcrypt.gensalt())
    • bcrypt.checkpw(password.encode(), hashed)
  • 机密比较（防计时攻击）
    • import secrets
    • secrets.compare_digest(provided, expected)
  • 安全的外部命令调用
    • import subprocess, shlex
    • subprocess.run([“ffmpeg”, “-i”, shlex.quote(filename), “out.mp4”], check=True)
  • 安全的 YAML 加载
    • import yaml
    • data = yaml.safe_load(stream)
  • 安全的 XML 解析
    • from defusedxml.ElementTree import parse
    • tree = parse(“input.xml”)