requirements.txt: Uirlis Chroí nó Bagairt Fholaithe?
Tá sé i ngach tionscadal Python. An cuma neamhurchóideach sin. requirements.txt ina shuí ag fréamh do stórais, an comhad pip install requirements.txt ídíonn, is liosta spleáchais é, cinnte, ach mura bhfuil tú cúramach, is féidir leis a bheith ina dhoras oscailte freisin do thógálacha éagobhsaí, pacáistí leochaileacha, agus saincheisteanna slándála tromchúiseacha.
Ag croílár, riachtanais.txt rialaíonn sé cé na pacáistí tríú páirtí a tharraingíonn d'fheidhmchlár isteach. Nuair a ritheann tú pip shuiteáil -r requirements.txt, Suiteálann bainisteoir pacáiste Python gach spleáchas atá liostaithe. Ach seo an rud is tábhachtaí: mura ndéanann tú leaganacha cruinne a phionáil, tá tú... muinín a chur i PyPI leagan sábháilte, comhoiriúnach agus neamh-mhodhnaithe a sheirbheáil i gcónaí. Ní mar sin a oibríonn AppSec nua-aimseartha.
Gan phionáil, is féidir le tógálacha briseadh. Níos measa fós, d'fhéadfadh d'fheidhmchlár pacáistí mailíseacha a ionghabháil gan a fhios dó. Leaganú oscailte (Fleascán >=1.0, mar shampla) nó srianta leagan scaoilte (django~=3.2) is talamh torthúil iad chun cód neamhshábháilte a instealladh. Sin é an fáth go gcaithfear bainistiú ceart a dhéanamh orthu riachtanais.txt is tasc slándála lárnach é.
Cá reoiteann pip agus miondealú ar requirements.txt pip install
reo pip áisiúil, ach contúirteach freisin nuair a úsáidtear é gan tuiscint a fháil ar a bhfuil á ghabháil aige. Is minic a ghineann forbróirí riachtanais.txt ag baint úsáide as riachtanais reo pip.txt, ag súil go nglasálfaidh sé a dtimpeallacht. Ach ní dhéanann reo slándáil ná bunús na spleáchas a bhailíochtú; ní dhéanann sé ach gach rud atá suiteáilte faoi láthair a dhumpáil, lena n-áirítear pacáistí trasdultacha agus pacáistí a d'fhéadfadh a bheith as dáta.
Anois samhlaigh go ritheann comhghleacaí foirne, nó do CI, go dall. pip shuiteáil -r requirements.txtMá tá sonraí atá imithe i léig, leochaileach, nó fiú pacáistí clóscríofa, tá teagmhas slándála uathoibrithe agat díreach anois.
Sampla tapa:
⚠️ Sampla neamhshábháilte, ná húsáid i dtáirgeadh
Cuir seo le do CI anois pipeline:
Tá muinín agat gur féidir an timpeallacht a atáirgeadh, nach bhfuil aon rud athraithe i PyPI, agus go gach spleáchas fós slán. Is toimhde mhór í sin nuair a bhíonn tú ag brath ar riachtanais reo pip.txt sreabhadh oibre.
Bagairtí Fíor AppSec: Typosquatting & Mearbhall Spleáchais i requirements.txt
Is breá le hionsaitheoirí éiceachórais foinse oscailte. Cén fáth? Toisc go mbraitheann forbróirí go minic ar réamhshocruithe agus ar mhuinín intuigthe. Seo mar a dhéanann siad ionsaí trí úsáid a bhaint as riachtanais.txt:
- TaifeadadhPacáiste mailíseach a uaslódáil le hainm cosúil le iarratais ionad iarrataisCarachtar amháin as agus is leat do thógáil.
iarratais # ⚠️ Sampla léiritheach, ní pacáiste fíor le suiteáil é
- Mearbhall SpleáchaisMura bhfuil do phacáiste inmheánach bioráilte ná scoite go príobháideach, is féidir le hionsaitheoirí leagan mailíseach a fhoilsiú chuig PyPI leis an ainm céanna. Mura ndéanann do CI foinsí a bhailíochtú, suiteálfaidh tú a bpacáiste in ionad do phacáiste féin.
Baineann an dá ionsaí leas as easpa bioráin agus rialaithe foinse dian i riachtanais.txtMás leatsa ach deir roinnt-leabharlann-inmheánach, agus ritheann tú Riachtanais suiteála pip.txt i CI, d'fhéadfadh sé an pacáiste mícheart a fháil ón áit mhícheart.
Requirements.txt a dhaingniú i CI/CD Pipelinele Hashes agus Pinning
Seo an chaoi le cruadhú riachtanais.txt i gcoinne bagairtí fíorshaoil:
- Leaganacha cruinne bioráin: Úsáid i gcónaí == do gach pacáiste i do riachtanais.txtGan aon chártaí fiáine, gan aon raonta.
- Úsáid –riachtanach-haiseannaDéanann sé seo pip shuiteáil -r requirements.txt sláine gach pacáiste íoslódáilte a fhíorú.
Sampla:
⚠️ Sampla taispeántach, cuir fíor-hais ina áit i dtionscadail iarbhír
- Leithlisigh do thógálachaTóg i gcónaí i gcoimeádáin ghlana, íostacha. Ná muinínigh go dall as an íomhá bhunúsach riamh.
- Úsáid innéacs PyPI príobháideachÓstáil do sheachfhreastalaí/taisce féin agus scáthán pacáistí iontaofa amháin.
Rith scananna spleáchaisComhtháthaigh uirlisí cosúil le iniúchadh pip nó úsáid SBOManailís bunaithe ar do pipelines.
Sampla de shliocht GitHub Actions:
⚠️ Oideachasúil pipeline mar shampla, oiriúnaigh do do thimpeallacht
Láimhseáil dhian ar pip shuiteáil -r requirements.txt in CI/CD ceann de na bealaí is éasca chun riosca foinse oscailte a laghdú.
Tógálacha In-athchruthaithe: Iad a Choinneáil Cobhsaí Trasna Timpeallachtaí
Má oibríonn d'aip go háitiúil ach má theipeann uirthi i stáitseáil nó i dtáirgeadh, spleáchais neamhréire i riachtanais.txt is iad an t-amhrastach is gnách. Is cúis le fadhbanna móra fiú le drift bheag ar an leagan.
Bain úsáid as na straitéisí seo:
- pip-uirlisí: Úsáid tiomsú pip a ghiniúint riachtanais.txt ó riachtanais.iRéitíonn sé spleáchais le bioránú cuí.
- Marcóirí timpeallachtaI gcás pacáistí atá sainiúil don chóras oibriúcháin nó spleáchais atá sainiúil don leagan de Python, bain úsáid as marcóirí cosúil le córas_ardáin == 'Linux'.
- Taisceadh DockerI CI, cuir do shraitheanna Docker i dtaisce tar éis spleáchais a shuiteáil ó riachtanais.txt chun athraitheacht tógála a laghdú.
Sampla le uirlisí pip:
⚠️ Sampla taispeántach, braitheann an t-aschur iarbhír ar do thimpeallacht
Is aschur lánphionáilte é riachtanais.txt.
Uirlisí cosúil le reo pip, nuair a chomhcheangal le pip shuiteáil -r requirements.txt le linn tógála, teastaíonn smacht agus coimircí breise uathu.
Conclúid: Do riachtanais a Dhúnadh le Muinín
Drochbhainistíocht riachtanais.txt Ní drochchleachtas amháin é; is riosca slándála gníomhach é. Is iad priontáil scaoilte, suiteálacha neamhfhíoraithe, agus muinín dall i gclárlanna oscailte an chaoi a mbaintear leas as do chuid faisnéise ag ionsaitheoirí. CI/CD pipelineNí lochtanna teoiriciúla iad seo; baintear leas astu go laethúil.
Is níos mó ná dea-chleachtas é biorán spleáchais. Is é do chéad líne chosanta i gcoinne ionsaithe slabhra soláthair i Python. Cuir sin le chéile le –riachtanach-haiseanna, aonrú a thógáil, agus uirlisí in-athchruthaithe cosúil le pip-uirlisí, agus gheobhaidh tú pipeline is deacra comhréiteach a dhéanamh.
Cibé an bhfuil tú ag úsáid Riachtanais suiteála pip.txt go háitiúil nó i CI, déan fíorú agus monatóireacht i gcónaí ar a bhfuil i do thógálacha. Uirlisí cosúil le Xiginí infheictheacht, forfheidhmiú beartais agus seiceálacha uathoibrithe a sholáthar a ghlasálann do shlabhra soláthair Python ó riachtanais reo pip.txt an bealach ar fad tríd an táirgeadh.
