如何将Python打包为exe且避免exe文件中可直接读取明文字符串？

底层原理：PyInstaller/Nuitka默认仅将Python源码编译为字节码或机器码，源码中的硬编码字符串会作为常量原样存储在生成exe的只读数据段，因此可以直接通过记事本、十六进制编辑器等工具静态扫描提取。

1. 优先规避硬编码敏感信息（最高性价比方案） #

• 不要将密码、密钥等敏感信息直接写入Python源码，改为从外部加密配置文件读取
• 实现逻辑参考：提前用AES对称加密敏感信息后存入独立的配置文件，程序运行时读取加密配置，用密钥解密后使用；解密密钥不要直接硬编码为明文字符串，可拆分为多个字节数组片段，运行时动态拼接后使用

2. 源码字符串混淆 #

如果必须将字符串写入源码，可提前对全量字符串做混淆处理，避免明文出现在编译产物中：

• 轻量实现：自行写预处理脚本，将所有明文字符串转为Base64编码，代码中调用base64.b64decode()解码后再使用
• 专业工具：使用pyarmor对源码做混淆加密，它会自动加密所有字符串、混淆字节码逻辑，可直接配合PyInstaller或Nuitka打包，打包后产物中不存在明文的原始字符串

3. 打包环节额外加固 #

• 使用PyInstaller打包时，添加--key [自定义加密密钥]参数，工具会自动用AES加密所有Python模块后打包，运行时才会动态解密，大幅提高静态扫描提取字符串的门槛
• 使用Nuitka打包时，可使用商业版的--commercial参数自带的字符串加密功能；开源版可提前混淆所有字符串后再编译为机器码，编译后的机器码产物本身比PyInstaller的字节码包更难提取静态字符串
• 打包完成后，可使用UPX或专业的EXE加壳工具做二次加固，进一步阻止静态扫描行为

注意：不存在100%无法破解的客户端加密方案，以上方法仅能避免普通用户通过记事本直接查看到明文，无法阻止有逆向经验的人员通过动态调试获取解密后的字符串，核心敏感信息尽量不要存放在客户端侧。

内容的提问来源于stack exchange，提问作者יואב שלו