如何用Python保存数据？

发布于 2024-08-04 12:04:30 字数 300 浏览 3 评论 0原文

我正在用 Python 编写一个程序，希望用户能够保存他们正在处理的数据。我研究过cPickle；看起来这将是一种快速而简单的保存数据的方法，但似乎不安全。由于整个函数、类等都可以被腌制，我担心流氓保存文件可能会将有害代码注入程序中。有没有办法可以阻止这种情况，或者我应该研究其他保存数据的方法，例如直接转换为字符串（这似乎也不安全）或创建 XML 层次结构并将数据放入其中。

我是Python新手，所以请耐心等待。

提前致谢！

编辑：至于我存储的数据类型，主要是字典和列表。诸如姓名、速度等信息。现在相当简单，但将来可能会变得更加复杂。

原文

分享到QQ

分享到微博

如果你对这篇内容有疑问，欢迎到本站社区发帖提问参与讨论，获取更多帮助，或者扫码二维码加入 Web 技术交流群。

发布评论

需要登录才能够评论，你可以免费注册一个本站的账号。

壹場煙雨 2024-08-11 12:04:31

根据您的描述，JSON 编码是安全且快速的解决方案。 python2.6中有一个json模块，你可以这样使用它：

import json
obj = {'key1': 'value1', 'key2': [1, 2, 3, 4], 'key3': 1322}
encoded = json.dumps(obj)
obj = json.loads(encoded)

JSON格式是人类可读的，与python中的字典字符串表示非常相似。并且不存在像pickle那样的任何安全问题。如果没有 python2.6 可以安装 cjson 或 simplejson

不能使用JSON 用于保存像 Pickle 这样的 Python 对象。但你可以用它来保存：字符串、字典、列表……对于大多数情况来说这已经足够了。

解释为什么pickle不安全。来自python 文档：

大多数安全问题
围绕 pickle 和 cPickle
模块涉及 unpickling。有
没有已知的安全漏洞
与酸洗有关，因为你（
程序员）控制的对象
pickle 会与之交互，以及所有它
产生的是一个字符串。
但是，对于 unpickling 来说，它永远
解开不信任的好主意
来源可疑的字符串，例如
例如，从套接字读取字符串。
这是因为 unpickling 可以创建
意想不到的物体，甚至
这些潜在的运行方法
对象，例如它们的类
构造函数或析构函数
...这个故事的寓意是你
应该非常小心
您的应用程序的字符串来源
解泡菜。

有一些方法可以保护自己，但在您的情况下使用 JSON 会容易得多。

From your description JSON encoding is the secure and fast solution. There is a json module in python2.6, you can use it like this:

import json
obj = {'key1': 'value1', 'key2': [1, 2, 3, 4], 'key3': 1322}
encoded = json.dumps(obj)
obj = json.loads(encoded)

JSON format is human readable and is very similar to the dictionary string representation in python. And doesn't have any security issues like pickle. If you don't have python2.6 you can install cjson or simplejson

You can't use JSON to save python objects like Pickle. But you can use it to save: strings, dictionaries, lists, ... It can be enough for most cases.

To explain why pickle is insecure. From python docs:

Most of the security issues
surrounding the pickle and cPickle
module involve unpickling. There are
no known security vulnerabilities
related to pickling because you (the
programmer) control the objects that
pickle will interact with, and all it
produces is a string.
However, for unpickling, it is never a
good idea to unpickle an untrusted
string whose origins are dubious, for
example, strings read from a socket.
This is because unpickling can create
unexpected objects and even
potentially run methods of those
objects, such as their class
constructor or destructor
... The moral of the story is that you
should be really careful about the
source of the strings your application
unpickles.