PyPI项目是否安全？如何挑选可信的Python第三方包

首先明确一个基本前提：PyPI平台不会对所有上传的包做前置安全审核，所以平台上的包并不全都安全，每年都会曝出多起恶意包投毒、窃取本地信息的安全事件，安装第三方包前确实需要做基础筛选。

你提到的pyinstaller 4.7完全可以放心使用，它是Python打包EXE场景下最主流的工具，已经持续维护了十余年，4.7是官方2021年推出的稳定版本，全球有上千万次下载量，只要你是从官方PyPI源安装、没有输错包名，不存在安全风险。

• 优先选大众熟知的主流包：如果某个功能已经有公认的主流实现（比如处理时区用pytz、终端着色用colorama、发HTTP请求用requests），就直接选这类下载量过百万、行业内普遍使用的包，这类项目受众广，就算有安全问题也会被第一时间发现修复，恶意投毒的概率极低。
• 核对包名拼写准确：很多恶意包会采用和热门包近似的拼写钓鱼（比如把pyinstaller拼成pyinstller、把requests拼成reqeusts），安装前一定要核对官方文档给出的包名，不要随便复制陌生博客、论坛里的安装命令直接执行。
• 查看项目维护状态：优先选择最近6个月有版本更新、Issue区反馈响应及时的项目，已经停止维护超过1年的项目就算本身没有恶意代码，也可能存在未修复的历史安全漏洞，尽量不要使用。
• 避开极度小众的包：如果某个包总下载量只有几千甚至几百，也没有任何公开的社区推荐，除非你能自己通读源码确认安全，否则不要随意安装，这类小众包是恶意投毒的高发区。
• 高安全场景做源码校验：如果是用于企业生产环境、处理敏感数据的项目，可以先下载对应版本的包源码归档，手动检查核心逻辑没有异常后，再执行本地安装。

内容的提问来源于stack exchange，提问作者Lorenz Hart