使用不可信输入调用datetime.strptime是否安全？

直接用datetime.strptime加异常捕获，从安全角度来说基本够用，但要不要额外验证得看你的业务场景：

为什么直接捕获异常够用？ #

datetime.strptime是严格的格式匹配函数——只有完全符合指定格式的字符串才能解析成功，不符合的会直接抛出ValueError。只要你捕获这个异常并返回错误响应，就能挡住绝大多数非法输入，包括恶意构造的格式错误字符串，不会给后续逻辑带来安全风险。

哪些场景需要额外验证？ #

如果你的业务有以下需求，提前加验证会更稳妥：

• 日期范围限制：比如只接受近30天的日期、不允许未来的日期，strptime只会验证格式，不会管日期是否符合业务逻辑，这一步必须额外检查。
• 防资源浪费：极端情况下，超长的无效字符串可能会让strptime消耗额外CPU资源，提前做长度限制（比如日期串最长不超过20字符）能避免这种小概率问题。
• 字符过滤：提前过滤掉日期格式外的特殊字符（比如只允许数字、-、/、:、空格），能减少异常触发的概率，也能避免一些边缘情况的恶意输入。

示例代码 #

from flask import Flask, request
from datetime import datetime

app = Flask(__name__)

@app.route('/handle-date', methods=['POST'])
def handle_date():
    date_input = request.form.get('target_date')
    if not date_input:
        return "日期不能为空", 400
    
    # 提前基础校验：长度+允许字符
    if len(date_input) > 20 or not all(c.isdigit() or c in '-/: ' for c in date_input):
        return "日期格式无效", 400
    
    try:
        # 指定业务需要的日期格式
        parsed_date = datetime.strptime(date_input, '%Y-%m-%d %H:%M:%S')
        # 额外的范围校验：只接受2020年至今的日期
        if parsed_date.year < 2020:
            return "日期超出允许范围", 400
    except ValueError:
        return "日期格式错误", 400
    
    # 后续业务处理逻辑
    return f"成功解析日期：{parsed_date}", 200

总结 #

• 若仅需保证日期格式正确，strptime加异常捕获完全足够安全。
• 若有业务规则限制或想进一步降低风险，提前加基础验证会更稳妥。

内容的提问来源于stack exchange，提问作者Mansour