Pyarmor项目深度教程：代码混淆的自定义与扩展实践

Pyarmor项目深度教程：代码混淆的自定义与扩展实践

pyarmor A tool used to obfuscate python scripts, bind obfuscated scripts to fixed machine or expire obfuscated scripts. 项目地址: https://gitcode.com/gh_mirrors/py/pyarmor

前言

在Python代码保护领域，Pyarmor作为一款功能强大的代码混淆工具，提供了丰富的自定义选项和扩展机制。本文将深入探讨Pyarmor的高级定制功能，帮助开发者根据实际需求灵活调整混淆策略，实现更精细化的代码保护方案。

运行时包名自定义

应用场景：当需要将运行时包名与项目其他模块保持命名一致时

Pyarmor默认生成的运行时包名格式为pyarmor_runtime_xxxxxx，从8.2版本开始支持自定义此名称：

pyarmor cfg package_name_format "my_runtime"

技术细节：

• 修改后所有生成的运行时包都将使用新名称
• 需确保名称符合Python包命名规范
• 商业版专属功能，试用版无法使用

增强函数与模块保护

问题背景：默认情况下，Pyarmor仅保护明确标记为需要混淆的函数和模块

8.2版本引入auto_mode配置项，可扩展保护范围：

# 设置保护模式为"或"条件
pyarmor cfg ast.call:auto_mode "or"

# 添加需要保护的函数列表
pyarmor cfg ast.call:includes "foo koo"

# 生成带函数调用验证的混淆代码
pyarmor gen --assert-call foo.py

实现原理：

• auto_mode=and（默认）：仅保护明确标记的项
• auto_mode=or：保护标记项+includes列表中的所有项
• 适用于需要额外保护关键函数但不想修改源码的场景

Darwin平台兼容性处理

典型问题：macOS上非标准Python安装路径导致的模块加载失败

解决方案是使用插件机制修改动态库依赖路径：

1. 创建插件脚本.pyarmor/myplugin.py：

class CondaPlugin:
    def _fixup(self, target):
        from subprocess import check_call
        check_call('install_name_tool -change @rpath/lib/libpython3.9.dylib @rpath/lib/libpython3.9.so %s' % target)
        check_call('codesign -f -s - %s' % target)

    @staticmethod
    def post_runtime(ctx, source, target, platform):
        if platform.startswith('darwin.'):
            print('修复动态库依赖: %s' % target)
            self._fixup(target)

2. 启用插件并重新生成代码：

pyarmor cfg plugins + "myplugin"
pyarmor gen foo.py

技术要点：

• 使用install_name_tool修改动态库搜索路径
• codesign命令解决签名问题
• 插件在运行时包生成后自动执行修复

Docker环境绑定方案

业务需求：将Python脚本绑定到特定Docker容器运行

实现步骤：

1. 创建钩子脚本.pyarmor/hooks/app.py：

def _pyarmor_check_docker():
    cid = None
    with open("/proc/self/cgroup") as f:
        for line in f:
            if line.split(':', 2)[1] == 'name=systemd':
                cid = line.strip().split('/')[-1]
                break

    docker_ids = __pyarmor__(0, None, b'keyinfo', 1).decode('utf-8')
    if cid is None or cid not in docker_ids.split(','):
        raise RuntimeError('许可验证失败：非授权容器环境')

_pyarmor_check_docker()

2. 生成绑定到特定容器的代码：

pyarmor gen --bind-data "docker-a1,docker-b2" app.py

安全机制：

• 通过cgroup信息获取容器ID
• 使用__pyarmor__内置函数读取绑定信息
• 不匹配时立即终止执行

运行时模块完整性校验

安全需求：防止关键模块被篡改

实现方案结合钩子脚本和插件：

1. 创建校验钩子.pyarmor/hooks/foo.py：

def check_pyarmor_runtime(value):
    from pyarmor_runtime_000000 import pyarmor_runtime
    with open(pyarmor_runtime.__file__, 'rb') as f:
        if sum(bytearray(f.read())) != value:
            raise RuntimeError('运行时模块校验失败')

check_pyarmor_runtime(EXPECTED_VALUE)

2. 开发自动计算校验值的插件：

class RuntimePlugin:
    @staticmethod
    def post_runtime(ctx, source, target, platform):
        with open(target, 'rb') as f:
            value = sum(bytearray(f.read()))
        # 自动更新钩子脚本中的预期值
        with open('.pyarmor/hooks/foo.py', 'r+') as f:
            content = f.read().replace('EXPECTED_VALUE', str(value))
            f.seek(0)
            f.write(content)

3. 启用插件并生成代码：

pyarmor cfg plugins + "myplugin"
pyarmor gen foo.py

增强建议：

• 可采用更复杂的校验算法（如SHA256）
• 结合多因素校验提高安全性
• 关键校验逻辑应分散在代码不同位置

密钥文件注释功能

管理需求：为密钥文件添加可读的元信息

通过post-key插件实现：

class CommentPlugin:
    @staticmethod
    def post_key(ctx, keyfile, **keyinfo):
        expired = None
        for name, value in keyinfo.items():
            print(f"密钥信息 - {name}: {value}")
            if name == 'expired':
               expired = datetime.fromtimestamp(value).isoformat()

        if expired:
            print('正在添加注释到密钥文件')
            comment = f'# 过期时间: {expired}\n'
            with open(keyfile, 'rb') as f:
                keydata = f.read()
            with open(keyfile, 'wb') as f:
                f.write(comment.encode())
                f.write(keydata)

使用效果：

$ head -n 1 dist/pyarmor.rkey
# 过期时间: 2023-05-06T00:00:00

结语

Pyarmor提供的自定义和扩展功能为Python代码保护提供了极大的灵活性。通过合理组合配置项、插件和钩子脚本，开发者可以：

1. 适配各种运行环境
2. 实现细粒度的保护策略
3. 增强代码的安全验证机制
4. 改善密钥文件的可管理性

建议在实际应用中根据具体需求选择合适的定制方案，并定期评估保护效果，持续优化混淆策略。对于关键业务系统，建议采用多层防护机制，而非依赖单一保护手段。

pyarmor A tool used to obfuscate python scripts, bind obfuscated scripts to fixed machine or expire obfuscated scripts. 项目地址: https://gitcode.com/gh_mirrors/py/pyarmor