Pythonのオブジェクトのカプセル化セキュリティ

Question

私は疑問を持っているし、大きなプロジェクトのための可能な言語としてPythonを選ぶ際に私の決定は、答えに依存して - 私は自分自身を考え出すことはできません。私たちは皆、Pythonは何を持っていることを知らない

をrealオブジェクトのカプセル化なので、オブジェクトの「プライベート」プロパティのようなものはありません。この問題に関して、グイド・ヴァン・ロッサムは、「私たちはすべて大人だ」、「ただしないでください」ということで、外国のオブジェクトの隠れた部分に「許可」されることなくアクセスできると言います。 私が書いたソフトウェアが自分の手で書かれている限り、私は自分の間違いの責任を負い、そのようなことを避けることができます。 いくつかの拡張ポイントを持つプラグインでプラグインフレームワークを提供し、多くのプラグインが他の人、多分私が完全に信用できないものである場合はどうすればよいですか？

フレームワークの内部にプラグインからアクセスできないようにするにはどうすればよいですか？

これを達成する方法はありますか、誰も私のAPIを悪用しないという自信を持ってPythonを使用する唯一の方法はありますか？

Answer 1

private、publicなど（「悪意のあるコードや外部からの脅威からの保護」のように）セキュリティのために決して実際に頼るべきではありません。彼らは、（コンピュータの）セキュリティ手段としてではなく、プログラマーが足に自分を撃ってしまうのを防ぐためのものです。また、静的なコンパイラチェックをバイパスしてメモリに直接移動する限り、C++オブジェクトのプライベートメンバーフィールドに簡単にアクセスできますが、C++には真のカプセル化がないと言うでしょうか？ C++については

• 、参照（これとJava）JVMほぼ同じ
• http://phoxis.org/2012/01/25/accessing-private-data-members-directly-outside-from-its-class-in-c/：How do I read a private field in Java?
• そして、（多かれ少なかれ）と同じ程度CLR（すなわち。 NET）：Does reflection breaks the idea of private methods, because private methods can be access outside of the class?

C++やJavaの悪意のあるプラグインに対するセキュリティ対策として、実際にprivateまたはprotectedを使用することは決してありません。私はC＃も想定しています。

プラグインを別のプロセスで実行し、コアAPIをIPC/RPCまたはWebサービスで公開するか、sandbox（@MarkHildrethが指摘した内容）で実行することをお勧めします。また、プラグインの証明書と署名プロセスを設定して、潜在的な悪意のあるプラグインが配布される前にそれを見直してフィルタリングすることができます。

注：

def Foo(param): 
    param = [param] # because `nonlocal` was introduced only in 3.x 
    class _Foo(object): 
     @property 
     def param(self): 
      return param[0] 
     @param.setter 
     def param(self, val): 
      param[0] = val 
    return _Foo() 

foo = Foo('bar') 
print foo.param # bar 
foo.param = 'baz' 
print foo.param # baz 
# no way to access `foo._param` or anything 

...それでも、値は反射を経て、まだ実際には比較的に簡単にアクセスできます：：

あなたが実際にレキシカルクロージャを使用して、真のカプセル化を達成することができます

>>> foo.__class__.param.fget.__closure__[0].cell_contents[0] = 'hey' 
>>> foo.param 
'hey' 

...そしてこれができなかった場合でも、我々はまだ残っている化粧品の「制約」バイパスし、ダイレクトメモリアクセスを可能にするctypesが残っているはずだ：

import ctypes 
arr = (ctypes.c_ubyte * 64).from_address(id(foo)) 

を、今あなただけarrに割り当てることができるか、それから読み取ります; .paramが格納されている実際のメモリ位置までポインタをトラバースするためには苦労しなければなりませんが、それはその点を証明します。