Python应用中OS模块未验证环境变量的安全验证方案咨询

Checkmarx的提示是合理的——恶意构造的SLINK_PATH环境变量可能指向敏感系统文件（比如/etc/passwd）或应用内部配置文件，通过软链接劫持导致应用操作错误文件，甚至泄露敏感数据。以下是具体的验证方案和规避思路：

一、安全验证措施 #

1. 限制路径到安全目录 #

强制目标路径只能落在预先定义的安全目录内（比如你的默认路径/tmp），同时解析真实路径避免软链接欺骗：

import os

ALLOWED_DIR = '/tmp'
fname = os.environ.get('slink_path', '/tmp/app_1.log')

# 解析路径到真实物理路径，防止软链接绕过检查
real_allowed_dir = os.path.realpath(ALLOWED_DIR)
real_fname = os.path.realpath(fname)

# 验证真实路径是否严格在允许目录下（加os.sep防止匹配到类似/tmpapp的目录）
if not real_fname.startswith(real_allowed_dir + os.sep):
    raise ValueError(f"Invalid path: {fname} - only paths under {ALLOWED_DIR} are allowed")

symlink_name = '/tmp/app.log'
os.symlink(fname, symlink_name)

2. 验证目标为合法文件 #

确保路径指向的是真实存在的普通文件，而非目录、软链接或其他特殊节点：

# 在目录检查之后添加
if not os.path.isfile(real_fname):
    raise ValueError(f"Path {fname} does not point to a valid file")

3. 过滤非法文件名（可选） #

限制文件名仅包含合法字符，避免注入特殊符号：

import re

# 只允许字母、数字、下划线、连字符和点号
VALID_FILENAME_REGEX = r'^[a-zA-Z0-9_\-\.]+$'
filename = os.path.basename(fname)

if not re.fullmatch(VALID_FILENAME_REGEX, filename):
    raise ValueError(f"Invalid filename: {filename} - only alphanumerics, _, -, . are allowed")

二、规避方案 #

如果业务不需要动态指定软链接目标，直接移除环境变量依赖，硬编码安全路径：

import os

# 直接使用固定路径，彻底消除用户输入风险
fname = '/tmp/app_1.log'
symlink_name = '/tmp/app.log'
os.symlink(fname, symlink_name)

另外，部署层面也可以做防护：

• 启动应用时严格控制环境变量的设置，禁止随意注入未知变量；
• 使用容器（如Docker）隔离应用运行环境，限制应用对主机文件系统的访问权限。

内容的提问来源于stack exchange，提问作者Pranjal Doshi