在编写配置文件时使用 ConfigParser 而不是常规的 python.py 文件有什么好处？

Question

我一直在使用 ConfigParser 模块来编写配置文件。然而，最近一个想法让我想到了；为什么不直接使用纯 Python 呢？以这个配置文件为例：

[parameters]
# Host
host = stackoverflow.com
port = 22

要将这些值读入我的代码，我会这样做

import ConfigParser
config = ConfigParser.SafeConfigParser()
config.read('host.cfg')

host = config.get('parameters', 'host')
port = config.get('parameters', 'port')

另一方面，如果我有这样的配置文件：

# Host
host = 'stackoverflow.com'
port = 22

在我的主代码中，我可以这样做：

from host_cfg import *

那么我从使用 ConfigParser 模块中获得了什么？每种方法的优缺点是什么？

Answer 1

那么我从使用 ConfigParser 模块中获得了什么？

与 Windows .ini 文件的兼容性。让一些人开心。

每种方法的优缺点是什么？

ConfigParser 的语法有限，一些相对简单的东西变得非常做作。查看logging 的示例。

Python 语法更简单，也更容易使用。没有安全漏洞，因为当他们可以简单地破解您的源代码时，没有人会浪费时间破解配置文件。事实上，他们可以破解大部分内置的 Python 库。就此而言，他们可以自己编写 Python 解释器。

当您的应用程序源代码中的其他地方有很多更容易利用的漏洞时，没有人会浪费时间破解配置文件。

Answer 2

ConfigParser 解析简单、扁平的配置数据。导入 python 模块会运行代码。对于配置文件，您需要数据，而不是代码。结案。

好的，更详细一点：代码可以做各种各样的事情，包括更容易破坏 - 特别是在由非程序员编辑时（尝试解释 .ini 修改者，例如他们必须使用匹配的引号并转义......） - 或导致命名空间与应用程序的其他部分发生冲突（尤其是如果您 import *）。另请参阅rule of Least Power。

Answer 3

Python 文件方法的一个潜在“缺点”是您的用户可以将任意代码放入将在您的应用程序上下文中执行的文件中。正如 S. Lott 在 cmets 中对这个答案所指出的那样（当我的警告更加有力时），这通常不是问题，因为用户（或黑客）通常无论如何都可以访问您的整个源代码并且可以进行任何所需的更改。

但是，我当然可以想象这种方法可能会导致新的安全漏洞的情况，例如主脚本文件只能由系统管理员写入，而每个用户的配置文件是唯一可由系统管理员编辑的文件最终用户。除非您确定您的代码永远不会在这样的环境中运行，否则我不会推荐 Python 模块方法。 “不要执行用户给你的代码”被广泛认为是一种最佳做法是有充分理由的。

执行配置文件也会使处理错误成为问题。如果用户引入了语法错误，您会想要捕获它，您可以通过在 import 周围抛出 try 来轻松做到这一点，但错误之后不会执行任何操作。在配置文件中，通常解析将继续下一行，因此用户最多会错过一个设置，而不是（比如说）其中的一半。有一些方法可以让 Python 模块更像一个配置文件（例如，您可以将文件读取为文本和 exec() 每行），但如果您必须做任何工作，使用 @987654324 会变得更容易@。

尽管如此，如果您仍想在配置文件中使用 Python 语法，则可以使用 ast 模块（参见函数 literal_eval()）。