Python第三方模块安全性咨询：所装模块是否存在风险？

• 你列的这些模块里，绝大多数都是Python生态里常用的主流工具，像requests、cryptography、Pillow、selenium这类，长期有社区审计维护，没公开的恶意程序记录，正常用基本没安全问题。
• 有两个地方要留意：
  • 你同时装了jwt（1.3.1）和PyJWT（2.7.0）：jwt是个老旧且无人维护的库，存在已知的签名验证逻辑漏洞，建议卸载jwt，只保留官方维护的PyJWT。
  • 少数模块已停止维护，比如win10toast（0.9），如果用它做桌面通知，换成你已安装的winotify会更稳妥；另外部分模块当前版本虽无严重问题，但最好定期更新，比如bottle后续有新版本及时跟进。

• 用pip自带工具检查：执行pip check，它能检测模块的依赖冲突和已知安全漏洞。
• 查看模块维护状态：通过PyPI查看模块的最后更新时间、下载量，下载量高、更新频繁的模块安全系数更高。
• 用专业安全工具扫描：
  • 安装safety库，运行safety check，它会将你的模块版本与已知漏洞库比对，直接生成风险报告。
  • 安装bandit库，执行bandit -r <你的项目文件夹路径>，可扫描代码中使用模块的不安全写法，比如硬编码密钥、不安全的加密逻辑。
• 仅从官方源安装模块：确保pip使用PyPI官方源，避免从不知名第三方源安装，降低恶意包混入的风险。

内容的提问来源于stack exchange，提问作者Legendview