Міркування безпеки

Наступні модулі мають особливі міркування безпеки:

• base64: аспекти безпеки base64 в RFC 4648

• cgi: Міркування безпеки CGI

• hashlib: усі конструктори приймають лише ключовий аргумент «usedforsecurity», який вимикає відомі небезпечні та заблоковані алгоритми

• http.server is not suitable for production use, only implementing basic security checks. See the security considerations.

• logging: Конфігурація журналювання використовує eval()

• multiprocessing: Connection.recv() використовує pickle

• pickle: Обмеження глобалів у pickle

• random не слід використовувати з метою безпеки, замість цього використовуйте secrets

• shelve: shelve базується на pickle і тому не підходить для роботи з ненадійними джерелами

• ssl: Міркування безпеки SSL/TLS

• subprocess: Міркування щодо безпеки підпроцесів

• tempfile: mktemp застаріло через вразливість до умов гонки

• xml: Уразливості XML

• zipfile: зловмисно підготовлені файли .zip можуть спричинити вичерпання обсягу диска

The -I command line option can be used to run Python in isolated mode. When it cannot be used, the -P option or the PYTHONSAFEPATH environment variable can be used to not prepend a potentially unsafe path to sys.path such as the current directory, the script’s directory or an empty string.