如何在Python中安全获取Git提交哈希且无额外依赖？

针对你遇到的Ruff告警（S603/S607）及需求，以下提供两种无额外依赖的安全实现方式：

一、优化subprocess调用（消除安全告警） #

Ruff的S603/S607告警主要针对shell注入风险，你的原始代码用列表形式传参本就不会触发，但可以通过显式约束进一步规范，消除误判：

import subprocess
from pathlib import Path

def get_git_revision_hash(git_path: str = "git") -> str:
    # 可选：指定Git绝对路径（如"/usr/bin/git"），避免路径劫持风险
    try:
        # 显式设置shell=False（默认值，写出来消除Ruff告警）
        result = subprocess.check_output(
            [git_path, "rev-parse", "HEAD"],
            shell=False,
            stderr=subprocess.STDOUT,
            cwd=Path(__file__).parent  # 固定执行目录为项目根，确保在Git仓库内
        )
        return result.decode("ascii").strip()
    except subprocess.CalledProcessError as e:
        raise RuntimeError(f"获取Git哈希失败: {e.output.decode('ascii')}") from e
    except FileNotFoundError:
        raise RuntimeError(f"未找到Git命令，请确认Git已安装: {git_path}")

def get_git_revision_short_hash(git_path: str = "git") -> str:
    try:
        result = subprocess.check_output(
            [git_path, "rev-parse", "--short", "HEAD"],
            shell=False,
            stderr=subprocess.STDOUT,
            cwd=Path(__file__).parent
        )
        return result.decode("ascii").strip()
    except subprocess.CalledProcessError as e:
        raise RuntimeError(f"获取Git短哈希失败: {e.output.decode('ascii')}") from e
    except FileNotFoundError:
        raise RuntimeError(f"未找到Git命令，请确认Git已安装: {git_path}")

关键优化点： #

• 显式声明shell=False，明确规避shell注入风险
• 指定cwd为项目根目录，避免在非Git仓库目录执行命令
• 添加异常捕获，处理Git命令不存在或执行失败的场景
• 可选指定Git绝对路径，防止恶意程序通过路径劫持伪造Git命令

二、纯Python读取Git仓库文件（完全不依赖subprocess） #

直接读取Git仓库的核心文件，无需调用外部命令，彻底消除subprocess相关风险：

from pathlib import Path

def get_git_revision_hash() -> str:
    repo_root = Path(__file__).parent
    head_path = repo_root / ".git" / "HEAD"
    
    if not head_path.exists():
        raise RuntimeError("当前目录不是Git仓库")
    
    with open(head_path, "r", encoding="ascii") as f:
        head_content = f.read().strip()
    
    # 处理分支引用（如ref: refs/heads/main）
    if head_content.startswith("ref: "):
        ref_rel_path = head_content[5:]
        ref_path = repo_root / ".git" / ref_rel_path
        
        # 分支引用可能打包在packed-refs中
        if not ref_path.exists():
            packed_refs_path = repo_root / ".git" / "packed-refs"
            if not packed_refs_path.exists():
                raise RuntimeError(f"未找到分支引用文件: {ref_path}")
            
            with open(packed_refs_path, "r", encoding="ascii") as f:
                for line in f:
                    line = line.strip()
                    if line and not line.startswith("#"):
                        hash_val, ref = line.split(maxsplit=1)
                        if ref == ref_rel_path:
                            return hash_val
            raise RuntimeError(f"在packed-refs中未找到分支引用: {ref_rel_path}")
        
        with open(ref_path, "r", encoding="ascii") as f:
            return f.read().strip()
    # 处理分离头指针（直接存储哈希）
    else:
        return head_content

def get_git_revision_short_hash() -> str:
    full_hash = get_git_revision_hash()
    return full_hash[:7]  # 与Git默认短哈希长度一致

核心逻辑： #

• 读取.git/HEAD文件判断当前状态（分支或分离头指针）
• 分支状态下读取对应引用文件，或从packed-refs中查找打包的引用
• 分离头指针状态下直接返回哈希值
• 短哈希通过截取完整哈希前7位实现，与git rev-parse --short效果一致

方案对比 #

内容的提问来源于stack exchange，提问作者Ernest P W