Python发布前安全检测全攻略

Python应用发布前的安全扫描不能只依赖工具默认配置，必须精准聚焦硬编码密钥（如B108）、危险函数调用（如B102、B112）等高危模式，通过bandit的-ll -iii参数强化检测；pip-audit需优先自动修复依赖CVE，对无法升级项严格白名单+上下文注释说明；CI中应仅扫描变更代码、限定CVE范围，并将结果交由人工研判而非直接阻断流程；更重要的是，静态扫描无法覆盖OOM、慢速攻击、日志注入等运行时风险，必须结合limits限流、超时控制、WAF联动测试及边界请求验证，才能构建真正落地的纵深防御体系。

怎么用 bandit 快速扫出硬编码密钥和危险函数调用

发布前最该盯住的是“人肉埋雷”——比如把 os.system() 直接拼接用户输入，或者在代码里写死 API_KEY = "sk-xxx"。这些 bandit 能直接标出来，但默认配置太松，容易漏。

实操建议：

• 装完立刻跑 bandit -r . -ll -iii：-r 递归扫描，-ll 开启低危告警（比如硬编码密码），-iii 把 info 级别也打出来（否则默认只报中高危）
• 重点看 B102（exec）、B108（硬编码路径）、B112（使用 eval）、B501（urllib2.urlopen 不校验证书）这类编号，它们对应具体漏洞模式
• 别信 --skip 随意跳过规则——比如跳掉 B101（assert 用于生产逻辑），可能掩盖权限绕过风险

pip-audit 扫依赖时为什么总报一堆“已知漏洞”却没法修

它报的不是你的代码问题，是第三方包的 setup.py 或 pyproject.toml 里声明的依赖版本有 CVE。但很多提示的“升级到 X.Y.Z”根本不可行——上游包没发新版，或你用的框架锁死了子依赖。

实操建议：

• 先跑 pip-audit -r requirements.txt --fix，自动尝试升到安全小版本；失败时看输出里哪一行卡住，比如 django 和 djangorestframework>=3.14 冲突，就得手动协调
• 对无法升级的包，用 pip-audit --ignore CVE-2023-12345 加白名单，但必须同步在代码注释里写清原因和缓解措施（比如“已用 django.middleware.security.SecurityMiddleware 拦截 XSS”）
• 注意 pip-audit 不扫 git+https 或本地路径依赖，这类得单独检查 pyproject.toml 里的 git 提交哈希是否在已知漏洞范围内

CI 里加扫描但 PR 总被拦住：如何让 bandit 和 pip-audit 只报真正要处理的问题

CI 里一开就红，不是工具不行，是默认把“所有历史问题”都当错误。结果团队要么关掉，要么每天花时间修十年前的 print 日志泄露。

实操建议：

• 用 bandit -r . -f json -o bandit-report.json 生成 JSON，再用脚本过滤出 line_number 在本次 git diff 范围内的条目——只扫改动行及其上下 3 行
• pip-audit 加 --vulnerability-id 参数限定只查特定 CVE，配合 GitHub Security Advisories 的 webhook 自动拉取当前仓库实际受影响的漏洞列表
• 别把扫描结果直接设为 CI 失败项，改用 exit 0 并把报告存成 artifact，靠人工 review + comment 自动标记高危项——机器负责发现，人负责判断上下文

为什么扫描通过了，上线后还是被 WAF 拦？

静态扫描管不到运行时行为。比如 bandit 看不出你用 json.loads() 解析用户传的超大字符串导致 OOM，pip-audit 也发现不了你用 requests.get(url, timeout=30) 让攻击者发起慢速 HTTP 攻击。

实操建议：

• 在关键入口加运行时检测：比如用 limits 包限制 JSON 解析大小，用 timeout 参数强制短超时，而不是只靠静态扫描“没报错”就认为安全
• WAF 规则往往基于流量特征（如 SQL 关键字、长 URL、重复 header），扫描工具不会模拟真实请求流。上线前用 curl 或 httpx 发几组边界值请求，观察 WAF 日志里的 403 原因字段
• 最常被忽略的是日志本身——如果 logging.info("user %s accessed %s", user_id, path) 里 path 来自 request，就可能被注入恶意字符串污染日志系统，这需要结合日志采集器的解析规则一起看

今天关于《Python发布前安全检测全攻略》的内容就介绍到这里了，是不是学起来一目了然！想要了解更多关于的内容请关注golang学习网公众号！