代码安全指引可用于以下场景：

• 开发人员日常参考
• 编写安全系统扫描策略
• 安全组件开发
• 漏洞修复指引

GitHub地址： https://github.com/Tencent/secguide/blob/main/Python%E5%AE%89%E5%85%A8%E6%8C%87%E5%8D%97.md

• 通用类
  • I. 代码实现
    • 1.1 加密算法
      • 1.1.1 【必须】避免使用不安全的对称加密算法
    • 1.2 程序日志
      • 1.2.1 【建议】对每个重要行为都记录日志
      • 1.2.2 【建议】禁止将未经验证的用户输入直接记录日志
      • 1.2.3 【建议】避免在日志中保存敏感信息
    • 1.3 系统口令
      • 1.3.1 【必须】禁止使用空口令、弱口令、已泄露口令
      • 1.3.2 【必须】口令强度要求
      • 1.3.3 【必须】口令存储安全
      • 1.3.4 【必须】禁止传递明文口令
      • 1.3.5 【必须】禁止在不安全的信道中传输口令
  • II. 配置&环境
    • 2.1 Python版本选择
      • 2.1.1 【建议】使用Python 3.6+的版本
    • 2.2 第三方包安全
      • 2.2.2 【必须】禁止使用不安全的组件
    • 2.3 配置信息
      • 2.3.1 【必须】密钥存储安全
      • 2.3.2 【必须】禁止硬编码敏感配置
• 后台类
  • I. 代码实现
    • 1.1 输入验证
      • 1.1.1 【必须】按类型进行数据校验
    • 1.2 SQL操作
      • 1.2.1 【必须】使用参数化查询
      • 1.2.2 【必须】对参数进行过滤
    • 1.3 执行命令
      • 1.3.1 【建议】避免直接调用函数执行系统命令
      • 1.3.2 【必须】过滤传入命令执行函数的字符
      • 1.3.3 【必须】禁止不安全的代码执行
    • 1.4 文件操作
      • 1.4.1 【必须】文件类型限制
      • 1.4.2 【必须】禁止外部文件存储于可执行目录
      • 1.4.3 【必须】避免路径穿越
      • 1.4.4 【必须】禁用XML外部实体的方法
      • 1.4.5 【必须】禁用不安全的反序列化函数
      • 1.4.6 【建议】避免路径拼接
      • 1.4.7 【建议】文件名hash化处理
    • 1.5 网络请求
      • 1.5.1 【必须】限定访问网络资源地址范围
    • 1.6 响应输出
      • 1.6.1 【必须】设置正确的HTTP响应包类型
      • 1.6.2 【必须】设置安全的HTTP响应头
      • 1.6.3 【必须】对外输出页面包含第三方数据时须进行编码处理
    • 1.7 数据输出
      • 1.7.1 【必须】敏感数据加密存储
      • 1.7.2 【必须】敏感信息必须由后台进行脱敏处理
      • 1.7.3 【必须】高敏感信息禁止存储、展示
      • 1.7.4 【必须】个人敏感信息脱敏展示
      • 1.7.5 【必须】隐藏后台地址
    • 1.8 权限管理
      • 1.8.1 【必须】默认鉴权
      • 1.8.2 【必须】授权遵循最小权限原则
      • 1.8.3 【必须】避免越权访问
      • 1.8.4 【建议】及时清理不需要的权限
    • 1.9 异常处理
      • 1.9.1 【必须】不向对外错误提示
      • 1.9.2 【必须】禁止异常抛出敏感信息
    • 1.10 Flask安全
      • 1.10.1 【必须】生产环境关闭调试模式
      • 1.10.2 【建议】遵循Flask安全规范
    • 1.11 Django安全
      • 1.11.1 【必须】生产环境关闭调试模式
      • 1.11.2 【建议】保持Django自带的安全特性开启

注:当前文章会不定期进行更新。如果您对本文有更好的建议，有新资料推荐， 可以点击： 欢迎分享优秀网站 。