最近学习目标：MySQL，Redis

本地Python脚本存在命令注入风险，风险程度取决于输入来源的可信度。主要风险来源包括命令行参数、配置文件、环境变量、用户交互、文件读取和网络数据等。攻击场景涵盖恶意用户执行、配置篡改和提权攻击等。防护方案包括：1) 最小权限原则；2) 严格的输入验证和净化；3) 安全执行命令（使用参数列表而非shell）；4) 完善的监控审计机制。安全开发需遵循深度防御策略，实施运行时保护、安全配置、输入验证、权限控制和资源限制等多层防护。核心结论：即使是内部工具也必须严格验证所有输入，实施多层防御，避免成为攻击入口。

方法本身是安全的，它只是与已存在的进程通信命令注入风险在Popen()构造函数中，特别是使用shell=True时使用参数列表而不是字符串拼接可以避免大多数注入风险如果必须使用shell=True，应该使用转义所有用户输入默认使用参数列表方式避免不必要的shell=True严格验证和转义所有用户输入使用白名单限制允许的命令和参数设置适当的超时时间（避免DoS攻击）

Python的subprocess.getstatusoutput()函数因使用shell=True存在命令注入风险，当用户输入被直接拼接到命令中时，攻击者可通过特殊字符（如;、&、$()等）执行任意命令。高危场景包括文件操作、日志分析等涉及用户输入的场景。建议：1）避免直接拼接用户输入；2）使用参数列表替代字符串命令（如subprocess.run()）；3）对必须使用shell的情况严格转义输入（shlex.quote()）；4）实施白名单验证。安全实践的核心是永远不信任用户输入，优先使用非sh

摘要：本文系统分析了命令注入安全风险，提出"数据与代码分离"的重构原则。危险模式包括字符串拼接、多层管道、shell执行和敏感信息泄露。重构方案采用参数列表化、结构化解析、分层验证等技术，构建安全执行框架，实现输入验证、权限控制、环境隔离等6层防御。重构可提升安全性、可维护性、可测试性和可观测性，建议分阶段实施。核心是转变"shell脚本思维"为"安全编程思维"，通过严格区分数据与代码边界构建健壮系统。

原文来自：https://blog.youkuaiyun.com/csdnnews/article/details/88653400 与敏捷开发、大数据甚至人工智能风口捆绑在一起的Python，似乎从来不缺热度。 Python在中国曾经历过三次风潮。第一次是 2007 年的搜索引擎浪潮，Google 进入中国市场，这家明星公司里对Python高普及率也吸引了人们的关注；第二次是2009 年到 2012 年...

本文介绍基于 Eclipse+PyDev+Python 搭建开发环境的方法。 PyDev 插件安装 Eclipse 插件的安装方式有离线和在线两种，本文介绍在线安装方法。 打开 Eclipse，选择“Help”->“Install New Software”。在弹出的对话框中，点击 Add 按钮，添加新的安装源，如下图所示。 在 Location 处填写安装源的网址：http:/...

http://www.runoob.com/python3/python3-tutorial.html Python 入门指南 Python 是一门简单易学且功能强大的编程语言。它拥有高效的高级数据结构，并且能够用简单而又高效的方式进行面向对象编程。Python 优雅的语法和动态类型，再结合它的解释性，使其在大多数平台的许多领域成为编写脚本或开发应用程序的理想语言。 你可以自由地从 Pyth...

http://www.runoob.com/python3/python3-tutorial.html 1. 开胃菜 如果你要用计算机做很多工作，最后你会发现有一些任务你更希望用自动化的方式进行处理。比如，你想要在大量的文本文件中执行查找/替换，或者以复杂的方式对大量的图片进行重命名和整理。也许你想要编写一个小型的自定义数据库、一个特殊的 GUI 应用程序或一个简单的小游戏。 如果你是一名专...

http://www.runoob.com/python3/python3-tutorial.html 调用 Python 解释器 Python 解释器通常被安装在目标机器的/usr/local/bin/python3.5目录下。将/usr/local/bin目录包含进 Unix shell 的搜索路径里，以确保可以通过输入: python3.5 命令来启动他。[1]由于 P...

http://www.runoob.com/python3/python3-tutorial.html 3. Python 简介 下面的例子中，输入和输出分别由大于号和句号提示符（>>>和...）标注：如果想重现这些例子，就要在解释器的提示符后，输入（提示符后面的）那些不包含提示符的代码行。需要注意的是在练习中遇到的从属提示符表示你需要在最后多输入一个空行，解释器才能...