当前位置：首页 > news >正文

Python安全编程：保护你的代码和数据

news 2026/7/23 21:07:50

Python安全编程：保护你的代码和数据

前言

大家好，我是第一程序员（名字大，人很菜）。作为一个非科班转码、正在学习Rust和Python的萌新，最近我开始关注Python的安全编程。说实话，一开始我对安全编程的重要性认识不足，觉得只要代码能运行就可以了。但随着学习的深入，我发现安全编程是非常重要的，尤其是在处理敏感数据或构建Web应用时。今天我想分享一下我对Python安全编程的学习心得，希望能给同样是非科班转码的朋友们一些参考。

一、常见的安全漏洞

1.1 SQL注入

SQL注入是一种常见的安全漏洞，攻击者通过在输入中插入SQL代码来执行恶意操作：

# 不安全的代码 import sqlite3 def get_user(username): conn = sqlite3.connect('database.db') cursor = conn.cursor() # 不安全：直接拼接SQL语句 cursor.execute(f"SELECT * FROM users WHERE username = '{username}'") user = cursor.fetchone() conn.close() return user # 攻击者可以输入：' OR 1=1 -- # 这会导致执行：SELECT * FROM users WHERE username = '' OR 1=1 --'

1.2 跨站脚本攻击（XSS）

XSS攻击允许攻击者在网页中注入恶意脚本：

# 不安全的代码 from flask import Flask, request, render_template app = Flask(__name__) @app.route('/') def index(): name = request.args.get('name', 'World') # 不安全：直接将用户输入插入到HTML中 return f"<h1>Hello, {name}!</h1>" # 攻击者可以输入：<script>alert('XSS')</script> # 这会导致在网页中执行JavaScript代码

1.3 跨站请求伪造（CSRF）

CSRF攻击诱导用户执行非预期的操作：

# 不安全的代码 from flask import Flask, request, session app = Flask(__name__) app.secret_key = 'secret' @app.route('/transfer', methods=['POST']) def transfer(): # 不安全：没有验证请求来源 amount = request.form.get('amount') recipient = request.form.get('recipient') # 执行转账操作 return f"Transferred {amount} to {recipient}"

1.4 不安全的密码存储

不安全的密码存储方式可能导致密码泄露：

# 不安全的代码 import sqlite3 def register_user(username, password): conn = sqlite3.connect('database.db') cursor = conn.cursor() # 不安全：明文存储密码 cursor.execute("INSERT INTO users (username, password) VALUES (?, ?)", (username, password)) conn.commit() conn.close()

二、安全编程最佳实践

2.1 防止SQL注入

使用参数化查询来防止SQL注入：

# 安全的代码 import sqlite3 def get_user(username): conn = sqlite3.connect('database.db') cursor = conn.cursor() # 安全：使用参数化查询 cursor.execute("SELECT * FROM users WHERE username = ?", (username,)) user = cursor.fetchone() conn.close() return user

2.2 防止XSS攻击

对用户输入进行转义：

# 安全的代码 from flask import Flask, request, escape app = Flask(__name__) @app.route('/') def index(): name = request.args.get('name', 'World') # 安全：对用户输入进行转义 return f"<h1>Hello, {escape(name)}!</h1>"

2.3 防止CSRF攻击

使用CSRF令牌：

# 安全的代码 from flask import Flask, request, session, render_template from flask_wtf.csrf import CSRFProtect app = Flask(__name__) app.secret_key = 'secret' csrf = CSRFProtect(app) @app.route('/transfer', methods=['GET', 'POST']) def transfer(): if request.method == 'POST': # 安全：CSRF令牌会自动验证 amount = request.form.get('amount') recipient = request.form.get('recipient') # 执行转账操作 return f"Transferred {amount} to {recipient}" return render_template('transfer.html')

2.4 安全存储密码

使用哈希函数存储密码：

# 安全的代码 import sqlite3 import hashlib import os def register_user(username, password): conn = sqlite3.connect('database.db') cursor = conn.cursor() # 安全：使用哈希函数存储密码 salt = os.urandom(32) hashed_password = hashlib.pbkdf2_hmac('sha256', password.encode('utf-8'), salt, 100000) cursor.execute("INSERT INTO users (username, password_hash, salt) VALUES (?, ?, ?)", (username, hashed_password, salt)) conn.commit() conn.close() def verify_password(username, password): conn = sqlite3.connect('database.db') cursor = conn.cursor() cursor.execute("SELECT password_hash, salt FROM users WHERE username = ?", (username,)) result = cursor.fetchone() if result: password_hash, salt = result test_hash = hashlib.pbkdf2_hmac('sha256', password.encode('utf-8'), salt, 100000) return test_hash == password_hash return False

三、安全库的使用

3.1 使用cryptography库

cryptography库提供了各种加密功能：

# 安装cryptography # pip install cryptography from cryptography.fernet import Fernet # 生成密钥 key = Fernet.generate_key() cipher_suite = Fernet(key) # 加密数据 plaintext = b"Hello, World!" ciphertext = cipher_suite.encrypt(plaintext) print(f"Encrypted: {ciphertext}") # 解密数据 decrypted_text = cipher_suite.decrypt(ciphertext) print(f"Decrypted: {decrypted_text}")

3.2 使用pyjwt库

pyjwt库用于处理JSON Web Tokens：

# 安装pyjwt # pip install pyjwt import jwt import datetime # 生成token payload = { 'user_id': 123, 'exp': datetime.datetime.utcnow() + datetime.timedelta(hours=1) } secret = 'secret_key' token = jwt.encode(payload, secret, algorithm='HS256') print(f"Token: {token}") # 验证token try: decoded = jwt.decode(token, secret, algorithms=['HS256']) print(f"Decoded: {decoded}") except jwt.ExpiredSignatureError: print("Token has expired") except jwt.InvalidTokenError: print("Invalid token")

3.3 使用passlib库

passlib库用于密码哈希：

# 安装passlib # pip install passlib from passlib.hash import pbkdf2_sha256 # 哈希密码 hashed_password = pbkdf2_sha256.hash('mypassword') print(f"Hashed password: {hashed_password}") # 验证密码 is_valid = pbkdf2_sha256.verify('mypassword', hashed_password) print(f"Password is valid: {is_valid}")

四、安全配置

4.1 环境变量管理

使用环境变量存储敏感信息：

# 安装python-dotenv # pip install python-dotenv import os from dotenv import load_dotenv # 加载环境变量 load_dotenv() # 从环境变量获取敏感信息 secret_key = os.getenv('SECRET_KEY') database_url = os.getenv('DATABASE_URL') # 使用敏感信息 print(f"Secret key: {secret_key}") print(f"Database URL: {database_url}")

4.2 安全的文件权限

设置安全的文件权限：

import os # 创建文件并设置权限 with open('secret.txt', 'w') as f: f.write('secret information') # 设置文件权限为600（只有所有者可读写） os.chmod('secret.txt', 0o600)

4.3 安全的网络配置

使用安全的网络配置：

import ssl import socket # 创建安全的SSL连接 context = ssl.create_default_context() with socket.create_connection(('example.com', 443)) as sock: with context.wrap_socket(sock, server_hostname='example.com') as ssock: print(f"SSL version: {ssock.version()}") print(f"Cipher: {ssock.cipher()}")