'distutils_hack'模块作用是什么？Python3.9下未主动安装是否有风险？

模块核心作用 #

• 你没有主动安装是正常现象：distutils_hack是setuptools的官方依赖项，会随setuptools的安装、升级自动安装到你的Python环境中，不需要用户手动操作。
• 核心功能是做distutils兼容适配：Python官方从3.10版本开始将标准库中的distutils标记为废弃，3.12版本彻底移除了该模块，但是大量旧Python包的构建、安装逻辑仍然依赖distutils的能力。distutils_hack作为兼容层存在，为setuptools提供统一的distutils调用入口，避免不同Python版本下distutils行为差异导致的包安装、构建失败。
• 你使用的Python 3.9虽然原生仍携带标准库版本的distutils，但新版setuptools为了实现跨版本逻辑统一，依然会默认携带该依赖。

安全性说明 #

完全不需要担心该模块的安全问题：

• distutils_hack是Python包生态的核心基础组件，由setuptools官方团队维护，被pip、poetry等几乎所有主流Python包管理工具依赖，广泛应用于全球各类Python环境。
• 该模块没有公开的高危安全漏洞，也不存在恶意代码行为，属于正常的系统级依赖。
• 如果你需要确认当前安装的版本未被篡改，可以执行pip show distutils_hack命令查看安装信息，正常情况下其安装路径会和当前环境的setuptools安装路径一致，均位于Python环境的site-packages目录下。

内容的提问来源于stack exchange，提问作者Damion Dron