如何对含setup.py的Python包隐藏代码及敏感URL以实现私有化？

针对你的需求，我整理了几个实用的方案，帮你在分发私有Python包时隐藏敏感URL，同时不影响客户的开发使用：

1. 环境变量注入（最推荐的轻量方案） #

把敏感URL从包的源码中完全剥离，改用环境变量让客户自行配置。这种方式不需要修改包的结构，也能避免敏感信息硬编码。

实现步骤： #

• 在你的包内代码中，用os.getenv读取环境变量：

# 示例：your_package/utils.py
import os

# 第二个参数是默认值（可选，可设为非敏感的测试URL）
SENSITIVE_URL = os.getenv("YOUR_PACKAGE_SENSITIVE_URL", "https://default-test-url.com")

• 给客户的使用文档中明确说明配置方式：
  • Linux/macOS终端：export YOUR_PACKAGE_SENSITIVE_URL="https://真实敏感地址.com"
  • Windows命令行：set YOUR_PACKAGE_SENSITIVE_URL=https://真实敏感地址.com
  • 或者让客户在他们的项目配置文件（如.env）中设置，配合python-dotenv加载。

2. 配置文件模板+客户自行填充 #

创建一个配置模板文件，让客户复制后填写真实URL，包内代码读取这个配置文件。这种方式对客户更友好，容易管理多个敏感配置。

实现步骤： #

1. 在包的根目录创建配置模板config_template.ini：

[SECRET_CONFIG]
sensitive_url = 请替换为你的真实敏感URL

2. 在setup.py中配置package_data，确保模板文件被打包：

# setup.py
from setuptools import setup, find_packages

setup(
    name="your-package-name",
    packages=find_packages(),
    package_data={
        "your_package": ["config_template.ini"]
    }
)

3. 包内代码读取客户填写后的配置文件：

# your_package/config.py
import configparser
import os

# 让客户把config_template.ini复制为config.ini并填写内容
config_path = os.path.join(os.path.dirname(__file__), "config.ini")
config = configparser.ConfigParser()
config.read(config_path)

SENSITIVE_URL = config.get("SECRET_CONFIG", "sensitive_url")

4. 把config.ini加入你的.gitignore，避免源码仓库泄露真实URL。

3. 构建时动态替换占位符（适合预编译分发） #

如果给客户分发的是wheel/egg预编译包，可以在构建过程中用脚本替换源码中的占位符为真实URL，源码中保留占位符，不会泄露敏感信息。

实现步骤： #

1. 源码中用占位符代替敏感URL：

# your_package/core.py
SENSITIVE_URL = "__PRIVATE_SENSITIVE_URL__"

2. 写一个构建脚本build_package.py：

import fileinput
import os

# 替换占位符为真实URL
target_file = "your_package/core.py"
secret_url = "https://真实敏感地址.com"

# 替换代码中的占位符
for line in fileinput.input(target_file, inplace=True):
    print(line.replace("__PRIVATE_SENSITIVE_URL__", secret_url), end="")

# 构建wheel包
os.system("python setup.py bdist_wheel")

# 把源码替换回占位符，避免污染本地代码
for line in fileinput.input(target_file, inplace=True):
    print(line.replace(secret_url, "__PRIVATE_SENSITIVE_URL__"), end="")

3. 执行这个脚本生成带真实URL的wheel包，分发给客户即可。

4. 私有配置服务（适合多客户批量管理） #

如果客户数量较多，且需要对敏感URL进行动态管控（比如随时更新、撤销权限），可以搭建一个简单的私有配置服务，让客户通过API密钥获取敏感URL。

实现示例： #

• 你的包内代码：

# your_package/config.py
import requests

def fetch_sensitive_url(customer_api_key):
    # 你的私有配置服务地址
    config_api = "https://你的私有配置服务.com/api/get-url"
    headers = {"X-Customer-Key": customer_api_key}
    response = requests.get(config_api, headers=headers)
    response.raise_for_status()
    return response.json()["sensitive_url"]

# 客户使用时
SENSITIVE_URL = fetch_sensitive_url("客户专属API密钥")

• 你需要维护这个配置服务，给每个客户分配唯一的API密钥，方便权限管控。

额外注意事项： #

• 无论使用哪种方案，绝对不要把真实敏感URL提交到源码仓库，所有包含敏感信息的文件都要加入.gitignore。
• 给客户的文档要清晰说明配置步骤，避免客户出现使用障碍。
• 如果客户使用配置文件或环境变量，提醒他们不要把这些配置信息提交到自己的代码仓库中。

内容的提问来源于stack exchange，提问作者Yohan E