无管理员权限下如何在PyCharm中有效保护代码避免明文落盘

方案前提适配 #

完全匹配以下约束条件：

• 无Windows管理员权限，无法安装软件、创建RAM盘/虚拟机
• 外接U盘仅支持只读，无法写入文件
• 编辑过程中明文代码不持久化到本地磁盘，可抵御SSD反删除、文件恢复类窃取
• 支持PyCharm内正常编辑、运行代码，工作结束可加密后持久化存储
  核心原理：所有明文代码仅存于进程内存，全程不落地，仅工作结束时将加密后的密文写入磁盘，所有操作依赖PyCharm自带功能+Python标准库，无额外依赖。

具体操作步骤 #

1. 基础环境配置（用户级权限即可完成，无需管理员） #

1. 打开PyCharm新建空项目，项目路径选择当前用户临时目录%TEMP%下的随机子文件夹，该目录内容在系统重启后会被自动清理，配合SSD TRIM机制可大幅降低残留数据恢复概率
2. 进入PyCharm设置，调整以下配置：
   • 找到Appearance & Behavior > System Settings，取消所有自动保存相关勾选，禁止文件自动落盘
   • 找到Editor > General > Editor Tabs，勾选Mark modified files with asterisk，直观识别未保存状态
   • 找到Advanced Settings > Local History，将本地历史保留时长设置为0天，关闭PyCharm自动留存编辑记录的功能
   • （可选）按Win+V打开剪贴板面板，临时关闭系统剪贴板历史，避免代码内容残留在剪贴板缓存中
3. 项目内新建固定加载脚本loader.py，该文件不含任何敏感逻辑，可正常落盘，内容如下（全标准库实现，无需安装第三方包）：

import hashlib
import os
import base64
from getpass import getpass

def derive_key(password: str, salt: bytes) -> bytes:
    # PBKDF2派生加密密钥，迭代10万次抗暴力破解
    return hashlib.pbkdf2_hmac('sha256', password.encode('utf-8'), salt, 100000)

def stream_crypt(data: bytes, key: bytes) -> bytes:
    # 流加密/解密逻辑，无第三方依赖
    return bytes([b ^ key[i % len(key)] for i, b in enumerate(data)])

def load_encrypted_code():
    enc_path = os.path.join(os.path.dirname(__file__), "code.enc")
    if not os.path.exists(enc_path):
        return b"", os.urandom(16)
    with open(enc_path, "rb") as f:
        raw = f.read()
    return raw[16:], raw[:16]

2. 零明文落盘编辑流程 #

1. 在PyCharm中新建未命名空白文档，全程不要点击保存按钮：PyCharm对未手动保存的新建文档，所有编辑内容仅存在于PyCharm进程内存缓冲区中，不会写入本地磁盘
2. 所有代码编写工作都在这个未命名文档中完成，编辑过程中如果误触保存，直接选择不保存即可
3. 需要运行代码时，全选当前文档内的全部代码，右键选择Execute Selection in Python Console，代码会直接传入Python控制台进程内存中执行，不会生成临时.py文件落盘

3. 工作结束加密存储流程 #

1. 代码编写完成后，全选所有代码复制到内存，打开PyCharm的Python控制台，依次执行以下逻辑完成加密落盘：

# 第一步：粘贴你编写的所有代码到三引号范围内
plain_code = """
# 此处替换为你写好的全部Python代码
print("示例代码")
"""
# 第二步：输入自定义加密密码
password = getpass("输入加密密码：")
enc_content, salt = load_encrypted_code()
key = derive_key(password, salt)
# 加密代码内容
cipher_data = base64.b64encode(stream_crypt(plain_code.encode("utf-8"), key))
# 密文写入磁盘，全程无明文落盘
with open(os.path.join(os.path.dirname(__file__), "code.enc"), "wb") as f:
    f.write(salt + cipher_data)
print("加密存储完成")

2. 加密完成后，关闭所有未保存的编辑文档，选择不保存任何内容
3. 在控制台右键选择Clear All清空控制台内存中的内容
4. 执行File > Invalidate Caches...，勾选Clear file system cache and local history后确认，PyCharm会自动清理所有缓存的编辑记录、临时文件，该操作为用户级权限，无需管理员
5. 关闭PyCharm后，手动删除%TEMP%下对应项目目录的临时残留文件即可

补充说明 #

• 落盘的code.enc为加盐加密后的密文，无密码无法解密，即使被数据恢复工具提取，也无法获取原始代码内容
• 如需更高强度的加密，可执行pip install --user cryptography（用户级安装，无需管理员权限），将上述流加密逻辑替换为AES-GCM模式即可，整体流程不变
• 下次需要继续编辑时，直接运行loader.py，输入密码后解密得到明文代码到内存，复制到未命名文档即可继续编辑，重复上述流程即可

内容的提问来源于stack exchange，提问作者user14175128