Python 模块之输入不可见的密码

密码对程序员来说尤其重要。你不应该在不加密的情况下存储它们，而且你也不应该在用户输入密码的时候显示出输入的内容。当我决定要提高我的笔记本电脑的安全性时，这对我来说变得特别重要。我对我的家目录进行了加密，但当我登录后，任何以纯文本形式存储在配置文件中的密码都有可能暴露在偷窥者面前。

具体来说，我使用一个名为Mutt的应用作为我的电子邮件客户端。它可以让我在我的Linux终端中阅读和撰写电子邮件，但通常它希望在其配置文件中有一个密码。我限制了我的Mutt配置文件的权限，以便只有我可以看到它，我是我的笔记本电脑的唯一用户，所以我并不真的担心经过认证的用户会无意中看到我的配置文件。相反，我想保护自己，无论是为了吹嘘还是为了版本控制，不至于心不在焉地把我的配置发布到网上，把我的密码暴露了。此外，虽然我不希望我的系统上有不受欢迎的客人，但我确实想确保入侵者不能通过对我的配置上运行cat就获得我的密码。

pythonGnuPG

Python模块python-gnupg是gpg应用的一个Python封装。该模块的名字是python-gnupg，你不要把它和一个叫做gnupg的模块混淆。

GnuPG(GPG)是Linux的默认加密系统，我从2009年左右开始使用它。我对它很熟悉，对它的安全性有很高的信任。

我决定将我的密码输入Mutt的最好方法是将我的密码存储在一个加密的GPG文件中，创建一个提示我的GPG密码来解锁这个加密文件，然后将密码交给Mutt(实际上是交给offlineimap命令，我用它来同步我的笔记本和电子邮件服务器)。

用Python获取用户输入是非常容易的。对input进行调用，无论用户输入什么，都会被存储为一个变量：

print("Enterpassword:")

myinput=input()

print("Youentered:",myinput)

我的问题是，当我根据密码提示在终端上输入密码时，我所输入的所有内容对任何从我肩膀上看过去或滚动我的终端历史的人来说都是可见的：

$./test.py

Enterpassword:my-Complex-Passphrase

用getpass输入不可见密码

正如通常的情况一样，有一个Python模块已经解决了我的问题。这个模块是getpass4，从用户的角度来看，它的行为和input完全一样，只是不显示用户输入的内容。

你可以用pip安装这两个模块：

$python-mpipinstall--userpython-gnupggetpass4

下面是我的Python脚本，用于创建密码提示：

#!/usr/bin/envpython

#bySethKenlon

#GPLv3

#installdeps:

#python3-mpipinstall--userpython-gnupggetpass4

importgnupg

importgetpass

frompathlibimportPath

defget_api_pass():

homedir=str(Path.home())

gpg=gnupg.GPG(gnupghome=os.path.join(homedir,".gnupg"),use_agent=True)

passwd=getpass.getpass(prompt="EnteryourGnuPGpassword:",stream=None)

withopen(os.path.join(homedir,'.mutt','pass.gpg'),'rb')asf:

apipass=(gpg.decrypt_file(f,passphrase=passwd))

f.close()

returnstr(apipass)

if__name__=="__main__":

apipass=get_api_pass()

print(apipass)

如果你想试试，把文件保存为password_prompt.py。如果你使用offlineimap并想在你自己的密码输入中使用这个方案，那么把它保存到某个你可以在.offlineimaprc文件中指向offlineimap的位置(我使用~/.mutt/password_prompt.py)。

测试密码提示

要查看脚本的运行情况，你首先必须创建一个加密文件(我假设你已经设置了GPG)：

$echo"helloworld">pass

$gpg--encryptpass

$mvpass.gpg~/.mutt/pass.gpg

$rmpass

现在运行Python脚本：

$python~/.mutt/password_prompt.py

EnteryourGPGpassword:

helloworld

当你输入时没有任何显示，但只要你正确输入GPG口令，你就会看到该测试信息。

将密码提示符与offlineimap整合起来

我需要将我的新提示与offlineimap命令结合起来。我为这个脚本选择了Python，因为我知道offlineimap可以对Python程序进行调用。如果你是一个offlineimap用户，你会明白唯一需要的“整合”是在你的.offlineimaprc文件中改变两行。

首先，添加一行引用Python文件的内容:

pythonfile=~/.mutt/password_prompt.py

然后将.offlineimaprc中的remotepasseval行改为调用password_prompt.py中的get_api_pass()函数:

remotepasseval=get_api_pass()

配置文件中不再有密码!

安全问题

在你的个人电脑上考虑安全问题有时会让人觉得很偏执。你的SSH配置是否真的需要限制为600?隐藏在名为.mutt的无关紧要的电子邮件密码真的重要吗?也许不重要。

然而，知道我没有把敏感数据悄悄地藏在我的配置文件里，使我更容易把文件提交到公共Git仓库，把片段复制和粘贴到支持论坛，并以真实好用的配置文件的形式分享我的知识。仅就这一点而言，安全性的提高使我的生活更加轻松。而且有这么多好的Python模块可以提供帮助，这很容易实现。

以上内容为大家介绍了Python模块之输入不可见的密码，希望对大家有所帮助，如果想要了解更多Python相关知识，请关注IT培训机构:开发教育。http://www.baikegou.com/

鹏仔微信 15129739599 鹏仔QQ344225443 鹏仔前端 pjxi.com 共享博客 sharedbk.com