Python — мощный язык программирования, который широко используется для создания веб-приложений, научных вычислений, анализа данных и многих других задач. Однако его популярность также привлекает внимание злоумышленников, которые могут использовать уязвимости в коде для проведения атак. В этой статье мы рассмотрим, как обеспечить безопасность Python-кода в экосистеме открытого кода.

Одной из основных проблем безопасности Python является использование встроенных функций, таких как «eval()» и «exec()», которые позволяют выполнять произвольный код. Например, следующий код может быть использован для выполнения произвольного кода:

import ast

def unsafe_evaluate(code):
    try:
        compiled_code = compile(code, '<string>', 'exec')
        eval(compiled_code)
    except Exception as e:
        print("Error:", e)

unsafe_evaluate("print('Hello, world!')")

Этот код безопасен, если он выполняется в изолированной среде, но если пользователь может предоставить свой собственный код, это может привести к серьёзным проблемам безопасности.

Для решения этой проблемы можно использовать модуль «ast» для безопасной оценки кода. Модуль «ast» позволяет нам анализировать и модифицировать абстрактное синтаксическое дерево (AST), которое представляет собой структуру данных, представляющую исходный код программы.

Вот пример безопасного варианта функции «unsafe_evaluate»:

import ast
import types

def safe_evaluate(code):
    try:
        tree = ast.parse(code, mode='eval')
        safe_ast = sanitize_ast(tree)
        codeobj = compile(safe_ast, filename='<stdin>', mode='eval')
        result = eval(codeobj)
        return result
    except Exception as e:
        print("Error:", e)

def sanitize_ast(tree):
    visitor = SanitizingVisitor()
    visitor.visit(tree)
    return tree

class SanitizingVisitor(ast.NodeVisitor):
    def visit_FunctionDef(self, node):
        if isinstance(node, ast.FunctionDef):
            return ast.Pass()

В этом примере функция «sanitize_ast» удаляет все определения функций из AST, что предотвращает выполнение нового кода. Функция «safe_evaluate» затем использует эту функцию для безопасной оценки кода.