Ubuntu 上提升 Python 安全性的实用清单
一 基础环境与权限
- 保持系统与基础组件更新：定期执行 sudo apt update && sudo apt upgrade，及时获取 Python 解释器与系统库的安全修复。
- 使用独立虚拟环境：每个项目使用 python3 -m venv venv 创建隔离环境，避免污染系统目录与依赖冲突。
- 禁止以 root 运行 pip：在虚拟环境内以普通用户安装依赖，防止覆盖系统包、破坏系统工具链与权限模型。
- 升级 pip 并规范源：在虚拟环境中执行 pip install --upgrade pip，必要时使用可信的镜像源与校验机制。
二 依赖管理与漏洞治理
- 明确依赖版本：使用 pip freeze > requirements.txt 固定版本，便于复现与审计；变更时先在测试环境验证。
- 持续检查更新：使用 pip list --outdated 识别过期包，优先升级存在安全修复的库；批量更新需谨慎，建议在虚拟环境或 CI 中验证。
- 容器场景的治理：在镜像构建前生成 requirements.txt，将存在漏洞的依赖升级到修复版本；构建后使用 Trivy 等工具扫描镜像，对 HIGH/CRITICAL 漏洞阻断部署，并可将扫描集成到 CI/CD。
三 代码与数据处理的安全写法
- 反序列化风险：禁止对不受信任数据使用 pickle.load；优先采用 JSON 等安全序列化方案。
- YAML 安全加载：对用户可控的 YAML 输入，使用 yaml.safe_load，避免 yaml.load 触发任意代码执行。
- 临时文件安全：避免 mktemp 生成文件名后延迟创建；使用 tempfile.mkstemp 等安全接口创建临时文件。
- 加密与密钥：如需加密传输或存储，使用 cryptography 等成熟库；密钥应安全分发与轮换，切勿硬编码在代码中。
四 传输安全与密码学组件
- 校验 OpenSSL 版本：在 Python 中执行 import ssl; print(ssl.OPENSSL_VERSION) 查看运行时库版本。
- 及时更新 OpenSSL：通过 sudo apt update && sudo apt install --only-upgrade openssl libssl-dev 升级系统 OpenSSL，随后重启依赖进程以使用新库。
- 注意兼容性：升级 OpenSSL 后，按需更新 Python 与相关依赖，验证 TLS 握手、证书校验与第三方库兼容性。
五 发布分发与代码保护
- 发布为可执行文件：使用 PyInstaller 打包（如 pyinstaller --onefile app.py）可提升分发便捷性并增加逆向难度，但并非不可逆向。
- 编译为二进制扩展：使用 Cython 将关键模块编译为 .so，显著提升分析与篡改难度，同时可带来性能收益。
- 代码混淆：使用 pyarmor 等工具对脚本进行混淆，增加阅读与调试成本。
- 多层防护思路：可组合“混淆 → 编译 → 打包”的多层次方案，但应认识到任何方案都无法提供“绝对安全”，需与访问控制、漏洞修复、密钥管理等一起构成纵深防御。