セキュリティで考慮すべき点

以下のモジュールには、特有のセキュリティ上の注意点があります:

• base64: RFC 4648 にある base64 のセキュリティ上の注意点

• hashlib: all constructors take a "usedforsecurity" keyword-only argument disabling known insecure and blocked algorithms

• http.server は基本的なセキュリティチェックしか実装していないため、本番環境での使用には適していません。 セキュリティ上の注意点 を参照してください。

• logging: ロギングの設定は eval() を使います

• multiprocessing: Connection.recv() は pickle を使います

• pickle: pickle でグローバル変数を制限する

• random はセキュリティ目的には使わず、代わりに secrets を使ってください。

• shelve: shelve は pickle に基づくため、信頼できない情報源からのデータの処理には適していません

• ssl: SSL/TLS のセキュリティ上の注意点

• subprocess: サブプロセスのセキュリティ上の注意点

• tempfile: mktemp は競合状態への脆弱性のため非推奨です

• xml: XML のセキュリティ

• zipfile: 悪意を持って作成された .zip ファイルはディスク容量を使い切る可能性があります

-I コマンドラインオプションを使うと、Python を隔離モードで実行できます。 これを使えない場合は、-P オプションまたは PYTHONSAFEPATH 環境変数を使うと、カレントディレクトリ、スクリプトのディレクトリ、空文字列のような、危険な可能性のあるパスを sys.path の先頭に追加しないようにできます。