编写安全的Python代码 邓良驹 2019.10.19 思考题 if user.balance >= product.price: user.balance -= product.price ? 目录 CONTENTS 常见不安全代码 代码检查的工具 总结：如何规避风险 常见不安全代码 小心 eval 应对： 在生产环境中，任何情况下都不要使用eval。 import sys "__main__": shellcode = pickle.dumps(ShellExp()) pickle.loads(shellcode) 应对： 绝不对不可信/未认证数据进行unpickle，使用更安全的JSON 或YAML做序列化。必须使用pickle时在沙盒环境执行。 小心 PyYAML 应对： 使用yaml.safe_load，必要时编写自定义 Loader 做更严格的检查。 对不可信来源的序列化检查后操作。 有的甚至是故意、恶意为之。 应对： 谨慎选择第三方 PyPI 包，尽量少导入 PyPI 包； 利用 https://pyup.io/ 等服务保持检查和更新依赖； 利用 Chef InSpect 落实代码安全规范的检查。 *参考资料：“驹说码事” 《如何import一个不存在的对象》 https://mp.weixin.qq.com/s/0_ivKVDU-nKf3r-c96sqrA 利用 Bandit

解放Python的 表达力，性能和安全性 Thautwarm 目录 CONTENTS 语法和语义扩展 JIT 静态类型 语法和语义扩展 表达力的扩展， 可用性的保留，白来的午餐？ 演示一小部分: 模式匹配, Quick Lambda, Pipe运算 语言决定思维模型 GNU-APL C++ Haskell 说 到 质 数 � 人 们 想 到 什 么 � 语言决定思维模型 54 -> 0.59 3.14 -> 0.93 2.00 -> 0.03 2.60 -> 0.96 如果还有时间，我们用静态类型 来写一个简单的网页生成框架 一个用起来，没有学习曲线的框架。 很安全，因为没有程序员需要付出心 智负担的工作。 THANK YOU thautwarm: - github.com/thautwarm - twshere@outlook.com

60 4.9.4 printf 风格的字节串格式化 . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 71 4.9.5 内存视图 . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 73 4.10 集合类型 1 读写压缩文件 . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 538 13.4.2 在内存中压缩和解压缩数据 . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 539 13.4.3 杂项 . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 599 15 加密服务 601 15.1 hashlib --- 安全哈希与消息摘要 . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 601 15.1.1 哈希算法 . . . . .

60 4.9.4 printf 风格的字节串格式化 . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 71 4.9.5 内存视图 . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 73 4.10 集合类型 1 读写压缩文件 . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 534 13.4.2 在内存中压缩和解压缩数据 . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 535 13.4.3 杂项 . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 595 15 加密服务 597 15.1 hashlib --- 安全哈希与消息摘要 . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 597 15.1.1 哈希算法 . . . . .

58 4.9.4 printf 风格的字节串格式化 . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 69 4.9.5 内存视图 . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 71 4.10 集合类型 1 读写压缩文件 . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 518 13.4.2 在内存中压缩和解压缩数据 . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 519 13.4.3 杂项 . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 576 15 加密服务 577 15.1 hashlib --- 安全哈希与消息摘要 . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 577 15.1.1 哈希算法 . . . . .

58 4.9.4 printf 风格的字节串格式化 . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 69 4.9.5 内存视图 . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 71 4.10 集合类型 1 读写压缩文件 . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 518 13.4.2 在内存中压缩和解压缩数据 . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 519 13.4.3 杂项 . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 576 15 加密服务 577 15.1 hashlib --- 安全哈希与消息摘要 . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 577 15.1.1 哈希算法 . . . . .

. 54 4.8.4 printf 风格的字节串格式化 . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 63 4.8.5 内存视图 . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 65 4.9 集合类型 1 读写压缩文件 . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 477 13.4.2 在内存中压缩和解压缩数据 . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 478 13.4.3 杂项 . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 530 15 加密服务 531 15.1 hashlib --- 安全哈希与消息摘要 . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 531 15.1.1 哈希算法 . . . . .

58 4.8.4 printf 风格的字节串格式化 . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 68 4.8.5 内存视图 . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 70 4.9 集合类型 读写压缩文件 . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 510 13.4.2 在内存中压缩和解压缩数据 . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 511 13.4.3 杂项 . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 567 vii 15 加密服务 569 15.1 hashlib --- 安全哈希与消息摘要 . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 569 15.1.1 哈希算法 . . .

Mac OS X .plist 文件 . . . . . . . . . . . . . . . . . . . . . . . 496 15 加密服务 499 15.1 hashlib --- 安全哈希与消息摘要 . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 499 15.2 hmac --- 基于密钥的消息验证 . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 508 15.3 secrets --- 生成管理密码的安全随机数 . . . . . . . . . . . . . . . . . . . . . . . . . . . . 510 16 通用操作系统服务 513 16.1 os --- 多种操作系统接口 . . . . . . . . . . . . . . . . . . . . . . 714 17.3 multiprocessing.shared_memory --- 可从进程直接访问的共享内存 . . . . . . . . . . 753 17.4 concurrent 包 . . . . . . . . . . . . . . . . . . . . . . . . . . . .

Mac OS X .plist 文件 . . . . . . . . . . . . . . . . . . . . . . . 496 15 加密服务 499 15.1 hashlib --- 安全哈希与消息摘要 . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 499 15.2 hmac --- 基于密钥的消息验证 . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 508 15.3 secrets --- 生成管理密码的安全随机数 . . . . . . . . . . . . . . . . . . . . . . . . . . . . 510 16 通用操作系统服务 513 16.1 os --- 多种操作系统接口 . . . . . . . . . . . . . . . . . . . . . . 714 17.3 multiprocessing.shared_memory --- 可从进程直接访问的共享内存 . . . . . . . . . . 753 17.4 concurrent 包 . . . . . . . . . . . . . . . . . . . . . . . . . . . .