Вопросы безопасности¶Security Considerations

Следующие модули имеют особые соображения безопасности:

• base64: вопросы безопасности base64 в RFC 4648

• hashlib: все конструкторы принимают ключевой аргумент “usedforsecurity”, отключающий известные небезопасные и заблокированные алгоритмы

• http.server не подходит для использования в производстве, реализуя только базовые проверки безопасности. См. вопросы безопасности.

• logging: Конфигурация логирования использует eval()

• multiprocessing: Connection.recv() использует pickle

• pickle: Ограничение глобальных переменных в pickle

• random не должен использоваться в целях безопасности, используйте secrets вместо этого

• shelve: shelve основана на pickle и поэтому не подходит для работы с ненадёжными источниками

• ssl: вопросы безопасности SSL/TLS

• subprocess: вопросы безопасности подпроцессов

• tempfile: mktemp устарел из-за уязвимости к состояниям гонки

• xml: безопасность XML

• zipfile: злонамеренно подготовленные .zip-файлы могут привести к исчерпанию дискового пространства

Параметр командной строки -I можно использовать для запуска Python в изолированном режиме. Когда его использовать нельзя, параметр -P или переменная окружения PYTHONSAFEPATH могут использоваться, чтобы не добавлять потенциально небезопасный путь к sys.path, такой как текущий каталог, каталог скрипта или пустая строка.