譯者 | 布加迪

審校 | 重樓

Python可讀性強(qiáng)，使用廣泛。雖然這種可讀性有利于協(xié)作，但也增加了未授權(quán)訪問和濫用的風(fēng)險。如果未采取適當(dāng)?shù)谋Ｗo(hù)，競爭對手或惡意攻擊者可以復(fù)制您的算法和專有邏輯，這將對您軟件的完整性和用戶的信任產(chǎn)生負(fù)面影響。

實(shí)施可靠的安全措施（比如混淆和許可證驗(yàn)證）可以增強(qiáng)軟件防范潛在威脅的能力。保護(hù)Python腳本不僅僅是一種實(shí)踐，還是確保創(chuàng)新的保密性和在數(shù)字環(huán)境中保持用戶信任的關(guān)鍵策略。

了解Pyarmor

Pyarmor是一個命令行庫。它有助于保護(hù)和混淆Python腳本和軟件包。它將原始Python代碼轉(zhuǎn)換成一種更難以理解的形式，同時保持其功能。混淆過程將變量、函數(shù)和類重命名為非描述性名稱，還刪除注釋并重構(gòu)代碼。這使得代碼難以被反向工程、篡改或復(fù)制。

Pyarmor可以保護(hù)單個的Python腳本和整個軟件包，甚至可以為代碼添加許可證驗(yàn)證。

安裝Pyarmor庫

Pyarmor在Python軟件包索引（PyPI）中可用。使用pip安裝它，只需運(yùn)行以下命令：

pip install pyarmor

不必非得將Pyarmor安裝在托管項(xiàng)目的同一個目錄中。您可以將其安裝在計(jì)算機(jī)上的任何位置，能夠保護(hù)來自任何目錄的任何Python腳本。

然而，如果您希望運(yùn)行受保護(hù)的腳本，不必在目標(biāo)機(jī)器上安裝Pyarmor，則需要將其安裝在托管項(xiàng)目的同一個目錄中。這是由于受保護(hù)的腳本將包含對Pyarmor運(yùn)行時環(huán)境的引用，為了運(yùn)行腳本，需要有Pyarmor運(yùn)行時環(huán)境。

保護(hù)單個Python腳本

使用Pyarmor保護(hù)單個腳本很簡單。添加兩個數(shù)字的下列腳本將充當(dāng)示例。

def add_numbers(num1, num2):
    result = num1 + num2
 print("The sum of {} and {} is: {}".format(num1, num2, result))


# Example usage
num1 = float(input("Enter the first number: "))
num2 = float(input("Enter the second number: "))
add_numbers(num1, num2)

使用命令行導(dǎo)航到已安裝Pyarmor的目錄。然后運(yùn)行以下命令，對腳本進(jìn)行加密和模糊處理。將main.py換成腳本的名稱。

pyarmor gen --output dist main.py

運(yùn)行該命令后，Pyarmor將創(chuàng)建一個名為dist的新文件夾，其中含有您的受保護(hù)腳本。

打開受保護(hù)的腳本以查看其內(nèi)容。

上面的屏幕截圖顯示了Pyarmor對簡單的加法腳本進(jìn)行模糊和加密處理后的輸出?，F(xiàn)在，您無法僅通過查看腳本來判斷其功能。

要運(yùn)行受保護(hù)的腳本，打開終端或命令提示，并導(dǎo)航到含有dist目錄的位置。然后使用以下命令運(yùn)行腳本：

python dist/main.py

將main.py換成您腳本的名稱。不用混淆處理，腳本應(yīng)該可以按原狀運(yùn)行。全面測試它，以確保所有函數(shù)都按預(yù)期工作。

保護(hù)整個Python軟件包

軟件包可能含有幾個模塊或數(shù)百個模塊，這取決于其用途。單獨(dú)維護(hù)每個模塊可能會很煩人。幸好，Pyarmor能夠保護(hù)整個軟件包，而不必單獨(dú)指定每個模塊。

假設(shè)您有一個名為sample_package的簡單Python軟件包，其結(jié)構(gòu)如下：

sample_package/
|-- __init__.py
|-- module1.py
|-- module2.py

您可以創(chuàng)建任意數(shù)量的模塊。

要加密和混淆軟件包，打開終端或命令提示，并導(dǎo)航到軟件包所在的目錄。然后執(zhí)行以下命令：

pyarmor gen -O dist -r -i sample_package

將sample_package換成您軟件包的名稱。該命令將加密和模糊軟件包目錄，并將受保護(hù)的輸出保存到dist目錄。像使用其他任何Python軟件包一樣使用受保護(hù)的軟件包。

比如說，要使用上面的示例軟件包，在dist目錄下創(chuàng)建一個新腳本：

from my_package import module1, module2

module1.say_hello()
module2.do_something()

您運(yùn)行代碼時，軟件包應(yīng)該像保護(hù)它之前一樣運(yùn)行。

控制對腳本的訪問

您可能希望限制用戶運(yùn)行腳本的時間，比如在試用期間。

要限制腳本運(yùn)行的時間，請?jiān)趯δ_本進(jìn)行混淆處理時使用以下命令。

pyarmor gen -O dist -e 30 main.py

將30換成您希望腳本處于活動狀態(tài)的天數(shù)。您也可以用一個確切的日期來代替。幾天過后，腳本將過期。

您可以通過設(shè)置過去的日期來測試此功能。這將使運(yùn)行腳本拋出一個錯誤。使用以下命令用過期日期對腳本進(jìn)行混淆處理：

pyarmor gen -O dist -e 2022-01-01 main.py

然后運(yùn)行受保護(hù)的腳本。

錯誤顯示許可證密鑰已過期，因此腳本無法運(yùn)行。

兼顧安全與效率

雖然Pyarmor提供了強(qiáng)大的混淆機(jī)制來增強(qiáng)代碼的安全性，但兼顧安全措施與維護(hù)軟件的效率和性能非常重要。您可以這么做：

• 評估是否需要混淆：如果您的軟件涉及專有算法、敏感數(shù)據(jù)或獨(dú)特的業(yè)務(wù)邏輯，混淆處理大有益處。然而，針對基本上沒有知識產(chǎn)權(quán)問題的開源腳本，安全與性能之間的權(quán)衡更傾向于效率。
• 評估性能影響：由于針對代碼采取的額外操作和轉(zhuǎn)換，混淆帶來了額外的運(yùn)行開銷。這種影響對于小腳本來說可以忽略不計(jì)，但是對于大型項(xiàng)目來說比較明顯。您應(yīng)該仔細(xì)評估混淆對性能的影響，并進(jìn)行測試，以確保軟件保持響應(yīng)能力和效率。
• 進(jìn)行定期更新和維護(hù)：定期更新混淆的代碼、許可證和安全機(jī)制，以防止?jié)撛诘穆┒础?/span>還要考慮盡量減少對用戶造成的干擾。

有人能破解混淆處理的代碼嗎？

軟件破解是指解除軟件應(yīng)用程序的復(fù)制保護(hù)或許可機(jī)制的行為，目的是為了無需付費(fèi)，未經(jīng)授權(quán)訪問軟件的全部功能。重點(diǎn)需要注意的是混淆處理軟件并不能完全保護(hù)它避免破解。

只要有足夠的決心和資源，就可以破解混淆處理的代碼。這就需要您應(yīng)該定期進(jìn)行更新和維護(hù)，以修補(bǔ)任何可疑的漏洞。

原文標(biāo)題：Safeguard Your Python Scripts Against Reverse Engineering With Pyarmor，作者：Denis Kuria