Newest Python PEPs
·
PEP 787：使用 t-strings 提高子进程使用的安全性
💡
原文英文，约1500词，阅读约需6分钟。
📝
内容提要
PEP 787 提议在 subprocess 和 shlex 模块中原生支持模板字符串（t-strings），以提高安全性和可用性。t-strings 解决了 f-strings 的命令注入风险，提供更安全的 shell 命令执行方式，增强 Python 标准库的安全性，便于开发者编写安全代码。
🎯
关键要点
- PEP 787 提议在 subprocess 和 shlex 模块中原生支持模板字符串（t-strings），以提高安全性和可用性。
- t-strings 解决了 f-strings 的命令注入风险，提供更安全的 shell 命令执行方式。
- 当前开发者在使用 f-strings 时面临安全风险，而使用更冗长的列表 API 则牺牲了便利性。
- subprocess 模块适合支持 t-strings，因为它已经支持字符串和列表命令规范。
- PEP 提议在 shlex 模块中添加新的 sh() 渲染函数，以安全构建 shell 命令。
- subprocess 模块将接受 t-strings 作为额外的输入类型，提供更人性化的语法。
- 此更改向后兼容，仅添加新功能，不改变现有行为。
- PEP 787 旨在通过提供更安全的替代方案来改善安全性，防止命令注入漏洞。
- 在非 POSIX shell 中，shlex.quote() 的转义机制可能不足以防止所有形式的命令注入。
- 该功能可以作为 t-strings 的自然扩展进行教学，展示其实际价值。
❓
延伸问答
PEP 787 的主要目的是什么？
PEP 787 提议在 subprocess 和 shlex 模块中原生支持模板字符串（t-strings），以提高安全性和可用性。
t-strings 如何提高安全性？
t-strings 解决了 f-strings 的命令注入风险，提供更安全的 shell 命令执行方式。
使用 f-strings 存在什么安全风险？
使用 f-strings 时，开发者面临命令注入的安全风险。
subprocess 模块如何支持 t-strings？
subprocess 模块将接受 t-strings 作为额外的输入类型，提供更人性化的语法。
shlex 模块将添加什么新功能？
shlex 模块将添加新的 sh() 渲染函数，以安全构建 shell 命令。
PEP 787 的更改是否会影响现有功能？
此更改向后兼容，仅添加新功能，不改变现有行为。
➡️
