requirements.txt: Ohun èlò pàtàkì tàbí ìhalẹ̀mọ́ni tí a fi pamọ́?
Gbogbo iṣẹ́ Python ló ní i. requirements.txt tí ó jókòó sí gbòǹgbò ibi ìpamọ́ rẹ, fáìlì náà pip install requirements.txt ó ń jẹ, jẹ́ àkójọ àwọn ìgbẹ́kẹ̀lé, dájúdájú, ṣùgbọ́n tí o kò bá ṣọ́ra, ó tún lè jẹ́ ìlẹ̀kùn sí àwọn ìkọ́lé tí kò dúró ṣinṣin, àwọn ìdìpọ̀ tí ó ṣeé farapa, àti àwọn ọ̀ràn ààbò tó le koko.
Ni ori rẹ, awọn ibeere.txt Ó ń ṣàkóso àwọn àkójọ àwọn ẹni-kẹta tí ohun èlò rẹ ń fà wọlé. pip fi -r requirements.txt, Olùṣàkóso package Python ń fi gbogbo ìgbẹ́kẹ̀lé tí a kọ sílẹ̀ sílẹ̀. Ṣùgbọ́n èyí ni ohun pàtàkì: tí o kò bá so àwọn ẹ̀yà pàtó mọ́, o gbigbekele PyPI láti máa ṣiṣẹ́ fún ẹ̀yà tó ní ààbò, tó báramu, àti èyí tí kò ní àtúnṣe nígbà gbogbo. Bẹ́ẹ̀ ni AppSec òde òní ṣe ń ṣiṣẹ́.
Láìsí ìdènà, àwọn ìkọ́lé lè bàjẹ́. Èyí tó burú jù ni pé, ohun èlò rẹ lè gbé àwọn ìdìpọ̀ búburú sínú láìmọ̀.Fọ́sì >=1.0, fún àpẹẹrẹ) tàbí àwọn ìdíwọ́ àtúnṣe tí kò ní ààlà (django~=3.2) jẹ́ ilẹ̀ ọlọ́ràá fún fífi àmì àìní ààbò sí i. Ìdí nìyí tí a fi ń ṣàkóso rẹ̀ dáadáa awọn ibeere.txt iṣẹ́ ààbò pàtàkì ni.
Ibi ti pip didi ati fifi sori ẹrọ pip awọn ibeere.txt
dídì pip Ó rọrùn, ṣùgbọ́n ó tún léwu nígbà tí a bá lò ó láìlóye ohun tí ó gbà. Àwọn olùgbékalẹ̀ sábà máa ń ṣe àgbékalẹ̀ awọn ibeere.txt lilo awọn ibeere didi pip.txt, wọ́n ń retí pé yóò ti àyíká wọn pa. Ṣùgbọ́n didi kò fi hàn pé ààbò tàbí ìpilẹ̀ṣẹ̀ àwọn ìgbẹ́kẹ̀lé wọn ni ó jẹ́rìí sí i; ó kàn ń pa gbogbo ohun tí a fi sori ẹ̀rọ lọ́wọ́lọ́wọ́ dànù, títí kan àwọn páálí ìgbà díẹ̀ àti èyí tí ó ṣeé ṣe kí ó ti pẹ́.
Wàyí o, fojú inú wo ẹgbẹ́ ẹlẹgbẹ́ rẹ kan, tàbí CI rẹ, tí ó ń sáré láìfọ́jú pip fi -r requirements.txtTí fáìlì náà bá ní àwọn ohun tí a ti kọ̀ sílẹ̀, tí ó ní ewu, tàbí tí ó tilẹ̀ ní àwọn àpò tí a fi àṣìṣe kọ, o ti ṣe adaṣe iṣẹlẹ aabo kan.
Apẹẹrẹ iyara:
# Developer's freeze output pip freeze > requirements.txt boto3==1.24.20 requests==2.27.1 ⚠️ Àpẹẹrẹ àìléwu, má ṣe lò ó nínú iṣẹ́-ṣíṣe
Fi eyi kun si CI rẹ bayi pipeline:
- name: Install dependencies run: pip install -r requirements.txtO ni igbẹkẹle pe ayika le tun se, pe ko si ohun ti o ti yipada ninu PyPI, ati pe gbogbo ìgbẹ́kẹ̀lé ó ṣì ní ààbò. Èrò ńlá ni èyí nígbà tí a bá gbẹ́kẹ̀lé awọn ibeere didi pip.txt awọn iṣẹ-ṣiṣe.
Àwọn Ìhalẹ̀ AppSec Tòótọ́: Ìkọlù àti Ìdàrúdàpọ̀ Ìgbẹ́kẹ̀lé nínú requirements.txt
Àwọn olùkọlù fẹ́ràn àwọn ètò ìṣẹ̀dá ayé tí ó ṣí sílẹ̀. Kí ló dé? Nítorí pé àwọn olùgbékalẹ̀ sábà máa ń gbẹ́kẹ̀lé àìṣeédá àti ìgbẹ́kẹ̀lé tí kò ṣe kedere. Èyí ni bí wọ́n ṣe ń lu nǹkan nípa lílo awọn ibeere.txt:
- Ipilẹṣẹ: Gbígbé àkójọpọ̀ búburú kan sókè pẹ̀lú orúkọ bíi awọn ibeere dipo ibeere. Àmì kan kù, ìkọ́lé rẹ sì ni tirẹ̀.
ìbéèrè # ⚠️ Àpẹẹrẹ àpèjúwe, kìí ṣe àpò gidi láti fi sori ẹrọ
- Ìdàrúdàpọ̀ ìgbẹ́kẹ̀lé: Tí a kò bá so àpò inú rẹ pọ̀ mọ́ tàbí tí a kò fi àmì sí i ní ìkọ̀kọ̀, àwọn olùkọlù lè gbé àtúnṣe búburú kan jáde sí PyPI pẹ̀lú orúkọ kan náà. Tí CI rẹ kò bá fọwọ́ sí àwọn orísun, o máa fi àpò wọn sí i dípò tìrẹ.
Awọn ikọlu mejeeji lo aini fifin ti o muna ati iṣakoso orisun ni awọn ibeere.txtTí tìrẹ bá jẹ́ tirẹ̀ o kan sọ díẹ̀-ìmọ̀-inu-ẹ̀mí, ìwọ sì ń sáré awọn ibeere fifi sori ẹrọ pip.txt ní CI, ó lè mú àpò tí kò tọ́ láti ibi tí kò tọ́.
Ṣíṣe àbò àwọn ìbéèrè.txt nínú CI/CD Pipelines pẹlu awọn Hashes ati Pinni
Báyìí ni a ṣe le koko awọn ibeere.txt lodi si awọn irokeke gidi-aye:
- Pin awọn ẹya gangan: Nigbagbogbo lo == fun gbogbo package ninu rẹ awọn ibeere.txtKò sí àwọn àmì ìkọ̀kọ̀, kò sí àwọn ìlà.
- lilo –àwọn ìhámọ́-béèrè: Èyí ló mú kí pip fi -r requirements.txt ṣàyẹ̀wò ìwà títọ́ gbogbo àkójọ tí a gbà láti inú rẹ̀.
apere:
flask==2.2.5 \ --hash=sha256:<actual_hash_here> ⚠️ Àpẹẹrẹ àfihàn, rọ́pò pẹ̀lú hash gidi nínú àwọn iṣẹ́ gidi
- Ya awọn ohun kikọ rẹ sọtọ: Máa kọ́ ọ sínú àwọn àpótí tó mọ́ tónítóní, tó sì kéré. Má ṣe fọkàn tán àwòrán ìpìlẹ̀ láìfọkàntán.
- Lo atọka PyPI ikọkọ kan: Gbalejo aṣoju/kaṣe tirẹ ki o si ṣe afihan awọn idii ti o gbẹkẹle nikan.
Ṣíṣe àwọn àyẹ̀wò ìgbẹ́kẹ̀lé ara ẹni: So awọn irinṣẹ pọ mọ bi àyẹ̀wò pip tabi lo SBOMìwádìí tó dá lórí rẹ nínú rẹ pipelines.
Àpẹẹrẹ àkójọpọ̀ ìgbésẹ̀ GitHub:
- name: Secure install run: pip install --require-hashes -r requirements.txt⚠️ Ẹ̀kọ́ pipeline àpẹẹrẹ, mu ara ba ayika rẹ mu
Mimu ti o muna pip fi -r requirements.txt in CI/CD jẹ́ ọ̀kan lára àwọn ọ̀nà tó rọrùn jùlọ láti dín ewu orísun ṣíṣí sílẹ̀ kù.
Àwọn Ilé Tí A Lè Ṣe Àtúnṣe: Mímú Wọn Dúró Lọ́nà Tí Ó Yẹ Ní Àyíká
Tí ohun èlò rẹ bá ń ṣiṣẹ́ ní agbègbè rẹ ṣùgbọ́n tí ó kùnà nínú ṣíṣe àgbékalẹ̀ tàbí ṣíṣe àgbékalẹ̀, àwọn ìgbẹ́kẹ̀lé tí kò dúró ṣinṣin nínú awọn ibeere.txt Àwọn ni a sábà máa ń fura sí. Kódà ìyípadà kékeré kan máa ń fa ìṣòro ńlá.
Lo awọn ọgbọn wọnyi:
- pip-irinṣẹ: Lo àkójọpọ̀ pip lati se ina awọn ibeere.txt lati kan awọn ibeere.inÓ yanjú àwọn ìgbẹ́kẹ̀lé pẹ̀lú ìfìmọ́ra tó tọ́.
- Àwọn àmì àyíkáFún àwọn ìdìpọ̀ pàtó OS tàbí àwọn ìgbẹ́kẹ̀lé pàtó Python, lo àwọn àmì bíi platform_system == 'Linux'.
- Ṣiṣe-ipamọ DockerNínú CI, fi àwọn ìpele Docker rẹ pamọ́ lẹ́yìn fífi àwọn ìgbẹ́kẹ̀lé sí i láti awọn ibeere.txt láti dín ìyàtọ̀ ìkọ́lé kù.
Àpẹẹrẹ pẹ̀lú àwọn irinṣẹ́ pip:
# requirements.in flask # Compile pip-compile requirements.in ⚠️ Àpẹẹrẹ àfihàn, àbájáde gidi da lórí àyíká rẹ
Ijade naa jẹ a ti pin ni kikun awọn ibeere.txt.
Awọn irinṣẹ bi dídì pip, nigba ti ni idapo pelu pip fi -r requirements.txt lakoko awọn ikole, nilo ibawi ati awọn aabo afikun.
Ipari: Titiipa awọn ibeere rẹ pẹlu igboya
Ìṣàkóso tí kò tọ́ awọn ibeere.txt kìí ṣe ìwà búburú nìkan; ó jẹ́ ewu ààbò tó ń ṣiṣẹ́. Pípín ìfọ́mọ́lẹ̀ láìsí ìdánilójú, fífi àwọn ìfisílẹ̀ tí a kò tíì fìdí rẹ̀ múlẹ̀, àti ìgbẹ́kẹ̀lé afọ́jú nínú àwọn ìforúkọsílẹ̀ ṣíṣí sílẹ̀ ni bí àwọn olùkọlù ṣe ń lo agbára rẹ. CI/CD pipelineÀwọn wọ̀nyí kì í ṣe àbùkù èrò-orí; ojoojúmọ́ ni wọ́n máa ń lò wọ́n.
Pípín ìgbẹ́kẹ̀lé ju àṣà tó dára lọ. Ó jẹ́ ìlà ààbò àkọ́kọ́ rẹ lòdì sí àwọn ìkọlù pọ́ọ̀npù ìpèsè ní Python. Dá èyí pọ̀ mọ́ –àwọn ìhámọ́-béèrè, kọ́ ìyàsọ́tọ̀, àti àwọn irinṣẹ́ tí a lè tún ṣe bíi pip-irinṣẹ, ati pe o gba a pipeline iyẹn nira lati ṣe adehun.
Boya o nlo awọn ibeere fifi sori ẹrọ pip.txt Ní agbègbè tàbí ní CI, máa ṣàyẹ̀wò kí o sì máa ṣe àkíyèsí ohun tí ó ń lọ sí inú àwọn ìkọ́lé rẹ nígbà gbogbo. Xygeni pese ifarahan, imuṣẹ eto imulo, ati awọn ayẹwo adaṣe ti o tii pq ipese Python rẹ lati awọn ibeere didi pip.txt gbogbo ọna nipasẹ iṣelọpọ.
