Python 安全沙箱运行用户提交代码的方案

用subprocess启动隔离进程比exec更安全，必须通过操作系统权限隔离用户代码；实操需设超时、资源限制、空环境变量、禁用网络，并用cgroups/prlimit控内存，禁第三方包，分块读取输出。

用 subprocess 启动隔离进程比 exec 安全得多

直接在当前 python 进程里跑用户代码，等于把 __import__、open、os.system 全部敞开——哪怕删了 builtins 里的函数，也能通过 getattr + __import__ 绕过。必须让代码在独立进程里跑，靠操作系统做权限隔离。

实操建议：

• 用 subprocess.run 启动一个干净的 python -c 或临时脚本，传入超时、资源限制（ulimit）、工作目录和空环境变量（env={}）
• 禁用网络：linux 下用 unshare -r -n 或 firejail --net=none；macos 只能靠 networksetup -setairportpower 预先关 Wi-Fi（不完美但可兜底）
• 别信 timeout 命令本身——它可能被子进程 fork 绕过，必须用 subprocess.run(..., timeout=5) 的 Python 原生超时

Resource.setrlimit 能控内存但对 Python 对象无效

Python 的 list、dict 分配的是堆内存，RLIMIT_AS 或 RLIMIT_DATA 确实能限制总虚拟内存，但 CPython 内部会预分配、复用内存块，导致实际触发限制比预期晚，甚至不触发。

常见错误现象：用户跑 [0] * 10**9 却没被 kill，反而拖垮宿主机器。

立即学习“Python免费学习笔记（深入）”；

实操建议：

• 优先用 cgroups（Linux）或 prlimit 包裹子进程：prlimit --as=100000000 --cpu=5 python user_code.py
• 在子进程中主动调用 resource.setrlimit(resource.RLIMIT_AS, (100_000_000, -1))，但得在 import 之前设，否则模块加载已占内存
• 不要依赖 sys.getsizeof 估算——它不计嵌套对象、不计 GC 开销，纯误导

用户代码 import 第三方包？默认一律拒绝

沙箱里装全量 pip install 的包，等于把攻击面扩大百倍。requests 可发请求，pandas 可读本地文件，sqlalchemy 可连数据库——全不是沙箱该干的事。

使用场景：只允许标准库，或极少数白名单模块（如 numpy 计算用），且需提前编译好 wheel 并冻结路径。

实操建议：

• 启动子进程时设置 PYTHONPATH="" 和 PYTHONNOUSERSITE=1，再删掉 site-packages 目录的读权限
• 重写 __import__ 或用 sys.meta_path 插入自定义 finder，但容易漏掉 importlib.import_module 等绕过方式——不如进程级隔离可靠
• 如果真要支持某个包，用 pip install --target ./sandbox-lib 单独部署，然后只把这个路径加进子进程的 PYTHONPATH

输出截断和编码错误比逻辑错误更常导致崩溃

用户代码 print 一个 1GB 字符串，或输出含 x00 的二进制数据，subprocess.run 默认的 stdout=subprocess.PIPE 会把全部内容读进内存，直接 OOM；若用 text=True 但用户输出非 UTF-8，又会抛 UnicodeDecodeError 中断整个沙箱。

实操建议：

• 永远用 stdout=subprocess.PIPE + stderr=subprocess.PIPE，但配合 stdout.read(65536) 分块读取，超长则 kill 进程并标记“输出过大”
• 读取时用 stdout.read().decode('utf-8', errors='replace')，别用 text=True ——后者在 decode 失败时直接炸
• 记录原始 returncode、截断标志、实际读取字节数，这三者比“报错信息”更能定位是用户代码问题还是沙箱配置问题

真正难的不是限制资源，而是当用户代码用 ctypes 调 mmap、用 threading 拉 1000 个线程、或用 gc.disable() 抗回收时，你怎么在不杀进程的前提下感知到异常行为——这些没法靠单一机制防住，得组合日志、cgroup 统计、ptrace 样本采样才行。