Debian 上修复 Python 安全漏洞的实操指南
一 系统级修复流程
- 更新软件源并应用安全补丁：执行 sudo apt update && sudo apt full-upgrade -y，优先修复标记为 security 的更新源。
- 启用自动安全更新：安装并启用 unattended-upgrades，编辑 /etc/apt/apt.conf.d/50unattended-upgrades，确保包含 “origin=Debian,codename=${distro_codename}-security”；在 /etc/apt/apt.conf.d/20auto-upgrades 中设置 APT::Periodic::Update-Package-Lists “1”; APT::Periodic::Unattended-Upgrade “1”;。
- 重启受影响的组件或系统：内核/库更新后执行 sudo reboot。
- 订阅安全通告：加入 debian-security-announce 邮件列表，第一时间获知安全更新。
二 Python 运行环境与依赖修复
- 优先使用发行版包管理器维护 Python 与库：在虚拟环境外，尽量用 apt 而非 pip 升级系统级包，避免与系统包产生冲突。
- 为每个项目使用隔离的虚拟环境：创建 python3 -m venv venv && source venv/bin/activate，在虚拟环境内按需使用 pip install --upgrade pip，再用 pip list --outdated 检查并用 pip install -U 包名 升级。
- 避免不安全源：不要随意添加不受信任的 PyPI 索引或第三方源；必要时使用可信的私有仓库或内部镜像。
- 清理无用依赖：定期移除不再使用的包，降低攻击面。
三 服务与访问控制加固
- 最小权限与特权分离：日常使用普通用户，需要提权时用 sudo；避免以 root 运行应用。
- 加固 SSH：编辑 /etc/ssh/sshd_config，设置 PermitRootLogin no（或 prohibit-password），使用 SSH 密钥 认证，禁用密码登录。
- 配置防火墙：使用 ufw 或 iptables 仅开放必要端口（如 22/80/443）。
- 入侵防护：部署 fail2ban 监控 /var/log/auth.log，对暴力登录自动封禁。
- 监控与审计：启用日志集中与告警（如 Nagios/Zabbix），并使用 auditd/syslog-ng 记录关键事件。
四 验证与持续维护
- 验证修复效果：
- 系统层面：执行 apt list --upgradable 应无安全更新；查看 /var/log/unattended-upgrades/unattended-upgrades.log 确认自动更新已生效。
- Python 层面：在虚拟环境内执行 pip list --outdated 确认依赖已是最新；运行应用自检或回归测试，确保升级未引入兼容性问题。
- 持续维护：
- 保持系统与库的定期更新；
- 订阅 debian-security-announce 获取最新安全通告；
- 例行检查日志与告警，定期做配置与权限审计。