ملاحظات امنیتی¶

ماژول‌های زیر ملاحظات امنیتی خاصی دارند:

• base64: ملاحظات امنیتی base64 در RFC 4648

• hashlib: همه‌ی سازنده‌ها یک آرگومان فقط کلیدواژه‌ای "usedforsecurity" می‌پذیرند که الگوریتم‌های ناامن و مسدودشده‌ی شناخته‌شده را غیرفعال می‌کند

• http.server برای استفاده در محیط عملیاتی مناسب نیست، زیرا فقط بررسی‌های امنیتی پایه را پیاده‌سازی می‌کند. ملاحظات امنیتی را ببینید.

• logging: پیکربندی گزارش‌گیری از eval() استفاده می‌کند

• multiprocessing: Connection.recv() از pickle استفاده می‌کند

• pickle: محدودسازی سراسری‌ها در pickle

• از random نباید برای اهداف امنیتی استفاده شود؛ در عوض از secrets استفاده کنید

• shelve: shelve مبتنی بر pickle است و بنابراین برای کار با منابع غیرقابل‌اعتماد مناسب نیست

• ssl: ملاحظات امنیتی SSL/TLS

• subprocess: ملاحظات امنیتی subprocess

• tempfile: mktemp به دلیل آسیب‌پذیری در برابر شرایط رقابتی منسوخ شده است

• xml: امنیت XML

• zipfile: پرونده‌های .zip تهیه‌شده با نیت مخرب می‌توانند باعث پر شدن فضای دیسک شوند

از گزینه خط فرمان -I می‌توان برای اجرای پایتون در حالت ایزوله استفاده کرد. هنگامی که نمی‌توان از آن استفاده کرد، می‌توان از گزینه -P یا متغیر محیطی PYTHONSAFEPATH استفاده کرد تا مسیر بالقوه ناامنی مانند پوشه جاری، پوشه اسکریپت یا یک رشته خالی به sys.path پیش‌افزوده نشود.