Python调用vsql打印调试命令时隐藏密码等敏感信息的方案咨询

以下两种实现可按实际场景选用：

方案1：参数列表预处理（最推荐） #

调用subprocess执行命令时优先用列表形式传参，本身是Python调用外部命令的最佳实践，可规避shell注入风险，同时脱敏逻辑完全无匹配歧义：

import subprocess
from urllib.parse import urlparse, urlunparse

def get_masked_command(cmd_list):
    masked = cmd_list.copy()
    # 密码相关参数名，有新增参数直接加进集合即可
    pwd_params = {'-w', '--password'}
    for idx, param in enumerate(masked):
        if param in pwd_params and idx + 1 < len(masked):
            # 替换密码位为星号
            masked[idx+1] = '****'
        # 可选：处理带凭证的连接串格式 vsql postgresql://user:pass@host:port/db
        elif param.startswith(('postgresql://', 'vertica://')):
            parsed = urlparse(param)
            if parsed.password:
                new_netloc = parsed.netloc.replace(f":{parsed.password}@", ":****@")
                masked[idx] = urlunparse(parsed._replace(netloc=new_netloc))
    return ' '.join(masked)

# 用法示例
raw_cmd = ['vsql', '-w', 'my_real_password', '-h', '127.0.0.1', '-U', 'dbuser', '-c', 'SELECT 1']
# 执行命令用原始列表，不会泄露密码
subprocess.run(raw_cmd, check=True, capture_output=True, text=True)
# 打印调试用脱敏后的字符串
print(get_masked_command(raw_cmd))
# 输出：vsql -w **** -h 127.0.0.1 -U dbuser -c SELECT 1

方案2：已拼接命令字符串正则替换 #

如果拿到的已经是拼接完成的命令字符串，用正则匹配参数位替换即可，兼容密码带空格、带引号、长短参数的场景：

import re

def mask_command_str(cmd_str):
    # 匹配 -w/--password 后的密码，支持无引号、单引号、双引号包裹的密码
    pwd_pattern = re.compile(r'((?:-w|--password)\s+)([\'"]?).*?\2(?=\s|$)')
    masked = pwd_pattern.sub(r'\1\2****\2', cmd_str)
    # 可选：处理连接串中的密码
    conn_pattern = re.compile(r'((?:postgresql|vertica)://[^:]+:).*?(@)')
    masked = conn_pattern.sub(r'\1****\2', masked)
    return masked

# 用法示例
raw_cmd_str = '''vsql -w 'my pass with space' -c "SELECT * FROM table"'''
print(mask_command_str(raw_cmd_str))
# 输出：vsql -w '****' -c "SELECT * FROM table"

注意事项 #

• 若vsql有其他传入密码的参数形式，直接在方案1的pwd_params集合里增加对应参数名即可
• 正则方案如果遇到极端特殊的密码格式（比如密码里带未转义的同类型引号）可能匹配出错，优先使用方案1

内容的提问来源于stack exchange，提问作者yurmix