requirements.txt: Inneal bunaiteach no bagairt falaichte?
Tha e aig a h-uile pròiseact Python. An coltas neoichiontach sin. requirements.txt na shuidhe aig freumh an stòr-dàta agad, am faidhle pip install requirements.txt ithe, 's e liosta de eisimeileachdan a th' ann, gu dearbh, ach mura bi thu faiceallach, faodaidh e a bhith na dhoras fosgailte cuideachd do thogalaichean neo-sheasmhach, pacaidean so-leònte, agus cùisean tèarainteachd dona.
Aig a 'bhun-stèidh aice, riatanasan.txt a’ cumail smachd air dè na pacaidean treas-phàrtaidh a bhios an aplacaid agad a’ tarraing a-steach. Nuair a ruitheas tu stàladh pip -r riatanasan.txt, Bidh manaidsear pacaid Python a’ stàladh gach eisimeileachd a tha air a liostadh. Ach seo an rud as cudromaiche: mura cuir thu dreachan mionaideach an sàs, tha thu earbsa ann am PyPI gus dreach sàbhailte, co-chòrdail, agus gun atharrachadh a thoirt seachad an-còmhnaidh, a h-uile turas. Chan e sin mar a tha AppSec an latha an-diugh ag obair.
Às aonais prìneadh, faodaidh togail briseadh. Nas miosa buileach, dh’ fhaodadh an aplacaid agad pacaidean droch-rùnach a ghabhail a-steach gun fhios dha. Tionndadh fosgailte (Flasg >=1.0, mar eisimpleir) no cuingealachaidhean dreach sgaoilte (django~=3.2) nan talamh torrach airson còd mì-thèarainte a stealladh. Sin as coireach gu bheil e cudromach a riaghladh gu ceart riatanasan.txt 's e prìomh obair tèarainteachd a th' ann.
Càite a bheil pip a’ reothadh agus mion-sgrùdadh air requirements.txt stàlaidh pip
reothadh pip tha e goireasach, ach cunnartach cuideachd nuair a thèid a chleachdadh gun tuigse air na tha e a’ glacadh. Bidh luchd-leasachaidh gu tric a’ gineadh riatanasan.txt cleachdadh riatanasan reothadh pip.txt, an dùil gun glas e an àrainneachd aca. Ach chan eil reothadh a’ dearbhadh tèarainteachd no tùs nan eisimeileachdan; bidh e dìreach a’ tilgeil air falbh a h-uile càil a tha air a stàladh an-dràsta, a’ gabhail a-steach pacaidean sealach agus pacaidean a dh’ fhaodadh a bhith seann-fhasanta.
A-nis smaoinich gu bheil companach sgioba, no an CI agad, a’ ruith gu dall stàladh pip -r riatanasan.txtMa tha am faidhle sin a’ gabhail a-steach seann-fhasanta, so-leònte, no eadhon pacaidean le mearachdan clò-sgrìobhaidh, tha thu dìreach air tachartas tèarainteachd a dhèanamh fèin-ghluasadach.
Eisimpleir sgiobalta:
⚠️ Eisimpleir mì-thèarainte, na cleachd ann an riochdachadh
Cuir seo ris an CI agad a-nis pipeline:
Tha earbsa agad gum faodar an àrainneachd ath-riochdachadh, nach eil dad air atharrachadh ann am PyPI, agus sin gach eisimeileachd fhathast tèarainte. Tha sin na bharail mhòr nuair a thathar an urra ri riatanasan reothadh pip.txt sruth-obrach.
Fìor Chunnartan AppSec: Typosquatting & Troimh-chèile Eisimeileachd ann an requirements.txt
Is toil le luchd-ionnsaigh eag-shiostaman stòr fosgailte. Carson? Leis gu bheil luchd-leasachaidh gu tric an urra ri roghainnean bunaiteach agus earbsa neo-shoilleir. Seo mar a bhios iad a’ toirt ionnsaigh le bhith a’ cleachdadh riatanasan.txt:
- TyposquattingA’ luchdachadh suas pasgan droch-rùnach le ainm mar iarrtasan an àite iarrtasanAon charactar dheth agus is ann leatsa a tha an togail agad.
iarrtasan # ⚠️ Eisimpleir taisbeanach, chan e pasgan fìor a th’ ann airson a stàladh
- Troimh-chèile EisimeileachdMura h-eil am pasgan a-staigh agad air a phrìneadh no air a sgrùdadh gu prìobhaideach, faodaidh luchd-ionnsaigh dreach droch-rùnach fhoillseachadh gu PyPI leis an aon ainm. Mura dèan an CI agad dearbhadh air stòran, stàlaichidh tu am pasgan aca an àite do phasgan fhèin.
Bidh an dà ionnsaigh a’ gabhail brath air dìth prìneadh teann agus smachd stòrais ann an riatanasan.txtMa tha thusa dìreach ag ràdh cuid de leabharlann a-staigh, agus ruithidh tu riatanasan stàlaidh pip.txt ann an CI, dh’ fhaodadh e am pasgan ceàrr fhaighinn bhon àite cheàrr.
Requirements.txt a’ tèarainteachd ann an CI/CD Pipelinele Hashes agus Pinning
Seo mar a nì thu cruadhachadh riatanasan.txt an aghaidh bagairtean san t-saoghal fhìor:
- Prìnich dreachan mionaideach: Cleachd an-còmhnaidh == airson gach pasgan anns a’ phacaid agad riatanasan.txtGun chairtean-fiadhaich, gun raointean.
- cleachdadh –riatanach-hashes: Tha seo a’ dèanamh stàladh pip -r riatanasan.txt dearbhaich ionracas gach pasgan a chaidh a luchdachadh sìos.
Mar eisimpleir:
⚠️ Eisimpleir taisbeanach, cuir fìor hash na àite ann am pròiseactan fìor
- Dealaich na togalaichean agadTog ann an soithichean glan, glè bheag an-còmhnaidh. Na cuir earbsa dall anns an ìomhaigh bhunaiteach.
- Cleachd clàr-amais PyPI prìobhaideachCùm aoigheachd air an proxy/tasgadan agad fhèin agus dèan sgàthan air pacaidean earbsach a-mhàin.
Ruith sganaidhean eisimeileachdCuir innealan còmhla mar sgrùdadh-pip no cleachdadh SBOMmion-sgrùdadh stèidhichte air do pipelines.
Eisimpleir de chriomag GitHub Actions:
⚠️ Foghlaim pipeline mar eisimpleir, atharraich a rèir na h-àrainneachd agad
Làimhseachadh teann air stàladh pip -r riatanasan.txt in CI/CD ’S e seo aon de na dòighean as fhasa air cunnart stòr fosgailte a lùghdachadh.
Togalaichean Ath-riochdachadh: Gan Cumadh Seasmhach Thar Àrainneachdan
Ma tha an aplacaid agad ag obair gu h-ionadail ach ma dh’ fhailicheas e ann an àrd-ùrlar no toradh, eisimeileachdan neo-chunbhalach ann an riatanasan.txt ’s iadsan an fheadhainn as àbhaistiche. Bidh eadhon gluasad beag ann an dreach ag adhbhrachadh dhuilgheadasan mòra.
Cleachd na ro-innleachdan seo:
- innealan-pìoba: Cleachd pip-chruinneachadh a ghineadh riatanasan.txt bho a riatanasan.annBidh e a’ fuasgladh eisimeileachdan le prìneadh ceart.
- Comharran àrainneachdAirson pacaidean sònraichte don t-siostam obrachaidh no eisimeileachdan sònraichte don dreach Python, cleachd comharran mar siostam_àrd-ùrlair == 'Linux'.
- Tasgadh DockerAnn an CI, cuir na sreathan Docker agad ann an tasgadan an dèidh dhut eisimeileachdan a stàladh bho riatanasan.txt gus caochlaideachd togail a lùghdachadh.
Eisimpleir le innealan-pìoba:
⚠️ Eisimpleir taisbeanach, tha an toradh fhèin an urra ris an àrainneachd agad
Tha an toradh làn-phrìnichte riatanasan.txt.
Innealan mar reothadh pip, nuair a thèid a chur còmhla ri stàladh pip -r riatanasan.txt rè togail, feumaidh iad smachd agus ceumannan dìon a bharrachd.
Co-dhùnadh: A’ glasadh sìos do riatanasan le misneachd
Droch-riaghladh riatanasan.txt Chan e dìreach droch chleachdadh a th’ ann; ’s e cunnart tèarainteachd gnìomhach a th’ ann. ’S e prìneadh sgaoilte, stàlaidhean gun dearbhadh, agus earbsa dall ann an clàran fosgailte mar a bhios luchd-ionnsaigh a’ gabhail brath air do CI/CD pipelineChan e lochdan teòiridheach a tha seo; thathas gan cleachdadh a h-uile latha.
Tha prìneadh eisimeileachd nas motha na dìreach deagh chleachdadh. ’S e a’ chiad loidhne dìon agad an aghaidh ionnsaighean slabhraidh solair ann am Python. Cuir sin còmhla ri –riatanach-hashes, togail aonaranachd, agus innealan ath-riochdachadh mar innealan-pìoba, agus gheibh thu pipeline tha sin nas duilghe co-rèiteachadh a dhèanamh.
Co-dhiù a tha thu a 'cleachdadh riatanasan stàlaidh pip.txt gu h-ionadail no ann an CI, dèan cinnteach an-còmhnaidh dè a thèid a-steach do na togail agad agus dèan sgrùdadh air. Innealan mar Xigin faicsinneachd, buileachadh phoileasaidh agus sgrùdaidhean fèin-ghluasadach a thoirt seachad a bhios a’ glasadh sìos an t-sèine solair Python agad bho riatanasan reothadh pip.txt fad na slighe tron riochdachadh.
