Django应用中自定义加载envvars.sh的方案是否存在缺陷或安全问题？

你的代码整体思路是可行的，但存在几个需要修正的问题，以及一些潜在的功能局限和安全风险，下面逐一拆解：

一、代码正确性问题（直接影响变量加载） #

你的代码有两个明显的错误，会导致部分场景下变量无法正确加载：

• 文件路径错误：你已经用os.path.join(SITE_ROOT, fname)拼接了正确的文件路径到envvars变量，但打开文件时却用了fname而不是envvars。如果Django的运行目录和settings.py所在目录不一致（比如从项目根目录运行python manage.py），就会找不到envvars.sh文件，导致变量加载失败。
• 未处理值中包含等号的情况：你的代码用line.split('=')[1]获取变量值，这会在值本身包含等号时（比如export DB_URL=postgres://user:pass@host:5432/db?sslmode=require），只截取第一个等号后的部分，丢失后续内容。应该改成line.split('=', 1)[1]，只按第一个等号分割，确保获取完整的变量值。

除了这两个错误，对于你提到的export DB_HOST=rds.amazon.com/12345这类基础格式，代码是可以正确加载变量的。

二、方案的功能局限性 #

即使修正了上面的错误，这个方案依然有一些功能上的局限：

• 不支持bash变量替换：比如export APP_HOME=$HOME/myapp，你的代码会直接把$HOME作为字符串值，而不会解析成实际的用户目录。
• 无注释/空行过滤：如果envvars.sh里有注释行（比如# 数据库配置）或空行，代码虽然不会报错，但没有显式过滤这些行，不过这对变量加载影响不大。
• 缺乏错误处理：如果envvars.sh存在但无法读取（比如权限不足），代码会抛出PermissionError，导致settings加载失败。最好加上try-except块或者提前检查文件的可读性。

三、安全风险 #

加载外部文件到环境变量需要注意以下安全问题：

• 文件权限风险：如果envvars.sh的权限设置过松（比如允许其他用户修改），恶意用户可以修改文件注入恶意变量（比如export PYTHONPATH=/malicious/code），从而影响Django的运行。务必确保文件权限为仅拥有者可读写（比如chmod 600 envvars.sh）。
• 敏感信息泄露风险：envvars.sh里通常会存储数据库密码、API密钥等敏感信息，如果这个文件被意外泄露（比如提交到代码仓库），或者settings.py的逻辑被不当调用，敏感信息可能会被暴露。建议不要把envvars.sh加入版本控制，同时确保环境变量在Django运行过程中不会被意外输出。
• 无内容校验机制：代码没有对envvars.sh的内容做任何校验，如果文件被篡改加入恶意的export语句，会直接加载到环境变量中。如果需要更高的安全性，可以考虑对文件做哈希校验，或者使用更成熟的环境变量管理工具。

四、修正后的示例代码 #

为了修复上述问题，这里给出调整后的代码：

import os

SITE_ROOT = os.path.dirname(os.path.realpath(__file__))

def source_envvars(fname='envvars.sh'):
    """Equivalent of `$ source {fname}` with lines in the form of `export key=value`"""
    envvars_path = os.path.join(SITE_ROOT, fname)
    if not os.path.exists(envvars_path) or not os.access(envvars_path, os.R_OK):
        return
    try:
        with open(envvars_path, 'r') as f:
            for line in f:
                line = line.strip()
                # 跳过空行和注释行
                if not line or line.startswith('#'):
                    continue
                if line.startswith('export '):
                    # 只按第一个等号分割，避免值里的等号导致截断
                    export_part, value_part = line.split('=', 1)
                    key = export_part.split()[1]
                    # 移除值前后的引号（单引号或双引号）
                    value = value_part.strip('"\'')
                    os.environ[key] = value
    except Exception as e:
        # 可以根据需要记录日志，或者静默失败
        import logging
        logger = logging.getLogger(__name__)
        logger.error(f"Failed to load envvars from {envvars_path}: {str(e)}")

# 仅当DB_HOST未设置时加载环境变量
if not os.environ.get('DB_HOST'):
    source_envvars()

# rest of settings.py file...

内容的提问来源于stack exchange，提问作者FI-Info