讲师中心 微信公众号

工具推荐

视频效率加速
Laper
Laper

剧本策划到成片协作

立刻MV
立刻MV

低成本歌曲 MV、视频生成

updream

一键生成高质量推广成片

Seko
Seko

AI短剧一键生成成片

Python 动态属性注入的风险与治理

千敏君_7540

千敏君_7540

发布时间:2026-02-19 13:20:03

|

305人浏览过

|

来源于php中文网

原创

绕过自定义__setattr__的唯一可靠方式是显式调用object.__setattr__(obj, name, value)或super().__setattr__(name, value);直接操作__dict__虽可绕过但会丢失描述符、__slots__检查等机制。

python 动态属性注入的风险与治理

动态设置属性时 __setattr__ 被绕过怎么办

直接用 object.__setattr__(obj, name, value) 或 type(obj).__setattr__(obj, name, value) 是唯一可靠方式。普通赋值如 obj.attr = val 会触发自定义 __setattr__,但 setattr(obj, name, value) 也会——它只是语法糖,底层仍走 __setattr__。想绕过校验或日志逻辑?必须显式调用父类实现。

  • 常见错误:以为 setattr() 能跳过 __setattr__,结果校验照常触发,甚至引发递归调用
  • 正确做法:在自定义 __setattr__ 内部,对受控字段做判断;需绕过时,用 super().__setattr__(name, value) 或 object.__setattr__(self, name, value)
  • 注意 __slots__ 类型对象不支持任意动态属性,此时 object.__setattr__ 也会抛 AttributeError

__dict__ 直接写入 vs setattr() 的行为差异

对常规实例对象,obj.__dict__['key'] = val 确实绕过 __setattr__,但它也绕过了所有描述符(@property、__get__ 等)、__slots__ 检查、以及任何基于属性访问的封装逻辑。这不是“快捷方式”,而是降级到字典操作层面。

  • 使用场景仅限:调试、序列化工具、极少数元编程框架内部(如 dataclasses 初始化)
  • 风险点:若类定义了 __slots__,__dict__ 可能根本不存在;即使存在,写入后属性访问仍可能失败
  • 兼容性问题:PyPy 和某些 C 扩展类(如 numpy.ndarray 子类)可能不暴露可写的 __dict__

用 types.SimpleNamespace 做动态容器的安全边界

SimpleNamespace 是少数几个“设计上就为动态属性而生”的标准类型,但它不是万能胶水。它的 __dict__ 是公开且可写的,__setattr__ 不做拦截,适合做配置载体或临时数据包,但绝不该替代有业务语义的模型类。

Python Hardener
Python Hardener

通过完整的安全审查、代码整洁重构、健壮的错误处理、正确的日志记录以及完整的文档字符串覆盖,强化 Python 脚本。

下载
  • 别把它当 dict 用:没有 .get()、不支持 in 判断、键名必须是合法标识符
  • 不能继承扩展:子类若重写 __setattr__,就失去“无约束”特性;想加校验?不如直接写个带 __slots__ 的空类
  • 性能影响小,但调试体验差:IDE 无法推导属性,help() 不显示动态字段,类型检查器(mypy)默认报错

装饰器注入属性时为什么 __init__ 里拿不到

装饰器运行在类定义阶段,它修改的是类对象本身(比如往 cls.__dict__ 塞描述符),而不是实例。如果装饰器试图在 __init__ 执行前给实例塞属性,那它只能靠修改 __new__ 或依赖 __set_name__(针对描述符)。否则,所谓“注入”只是给类加了默认值,实例属性仍要靠首次访问或显式赋值才出现。

立即学习“Python免费学习笔记(深入)”;

  • 典型陷阱:装饰器里写 instance.attr = default,但 instance 根本没创建,代码直接报 NameError
  • 安全做法:用描述符 + __set_name__ 实现延迟绑定,或在 __init__ 末尾统一初始化(需约定调用父类 __init__)
  • 第三方库如 attrs 和 dataclasses 都走描述符或代码生成路径,不碰实例生命周期早期阶段

动态属性最隐蔽的风险不在语法层面,而在调试和协作场景:别人读代码时,根本看不到属性从哪来、何时生效、是否被覆盖。哪怕只用一次 setattr,也要确保它出现在明确的初始化上下文里,而不是散落在条件分支或回调深处。

热门AI工具

更多
超级麦吉

一款通过数字员工协作完成调研、数据分析与文档制作的AI办公平台。

WorkBuddy

一款AI办公效率工具,主要用于腾讯云推出的AI原生桌面智能体工作台,适合需要提升相关任务效率的用户。

Laper
Laper Hot

Laper是专为编剧、导演和制片人推出的 AI 原生剧本创作工具。

PixPix
PixPix Hot

PixPix是一款面向电商视觉生产的AI商品图生成工具。

讯飞智作

讯飞智作是一款AI视频创作工具,AI文本配音工具,数字人课程、营销视频制作。

Lovart
Lovart Hot

一款面向视觉设计创作的AI设计平台,可通过智能体和画布工作流辅助制作海报、Logo、网页、PPT及其他视觉内容。

DeepSeek

DeepSeek是一款面向对话、写作、编程和推理场景的AI大模型工具。

豆包大模型

豆包大模型是一款由字节跳动推出的企业级大语言模型服务平台。

VibeKnow
VibeKnow Hot

一款AI视频创作工具,主要用于全球首个AI知识视频创作平台,文档、文章、网页,一键生成视频,适合需要提升相关任务效率的用户。

相关专题

更多
mysql标识符无效错误怎么解决
mysql标识符无效错误怎么解决

mysql标识符无效错误的解决办法:1、检查标识符是否被其他表或数据库使用;2、检查标识符是否包含特殊字符;3、使用引号包裹标识符;4、使用反引号包裹标识符;5、检查MySQL的配置文件等等。本专题为大家提供相关的文章、下载、课程内容,供大家免费下载体验。

17760

2023.12.04

Python标识符有哪些
Python标识符有哪些

Python标识符有变量标识符、函数标识符、类标识符、模块标识符、下划线开头的标识符、双下划线开头、双下划线结尾的标识符、整型标识符、浮点型标识符等等。本专题为大家提供相关的文章、下载、课程内容,供大家免费下载体验。

1263

2024.02.23

java标识符合集
java标识符合集

本专题整合了java标识符相关内容,想了解更多详细内容,请阅读下面的文章。

9550

2025.06.11

c++标识符介绍
c++标识符介绍

本专题整合了c++标识符相关内容,阅读专题下面的文章了解更多详细内容。

3802

2025.08.07

default gateway怎么配置
default gateway怎么配置

配置default gateway的步骤:1、了解网络环境;2、获取路由器IP地址;3、登录路由器管理界面;4、找到并配置WAN口设置;5、配置默认网关;6、保存设置并退出;7、检查网络连接是否正常。本专题为大家提供相关的文章、下载、课程内容,供大家免费下载体验。

377

2023.12.07

Postman身份认证怎么配置
Postman身份认证怎么配置

本专题从实际API接口调试场景出发,讲解Postman身份认证的完整配置流程,包括常见认证协议介绍、授权参数设置、访问令牌填写、OAuth 2.0授权及认证失败排查,帮助用户正确完成接口授权与访问验证。

80

2026.11.06

Postman请求头Headers怎么设置
Postman请求头Headers怎么设置

围绕Postman HTTP请求头配置展开,讲解Headers选项的具体使用方式,包括Key和Value参数填写、请求头信息添加、常见Header字段设置及请求头修改方法,帮助用户解决接口调试过程中遇到的请求头配置问题。

40

2026.11.06

Postman接口请求发送教程
Postman接口请求发送教程

详细介绍Postman接口请求的创建与发送方法,涵盖GET和POST请求、URL配置、请求参数、Headers请求头、Body请求体设置以及响应结果查看,帮助用户掌握Postman接口请求的完整操作流程。

80

2026.11.06

DBeaver怎么导入数据
DBeaver怎么导入数据

DBeaver数据导入专题,整理Excel、CSV、SQL、TXT等常见文件的数据导入方法,涵盖目标数据库选择、数据表创建、字段映射、数据类型设置及导入参数配置等操作,帮助用户将本地文件中的数据写入数据库,并了解批量导入、重复数据处理和导入失败等常见问题的解决方法。

60

2026.11.05

热门下载

更多
网站特效
/
网站源码
/
网站素材
/
前端模板

精品课程

更多
相关推荐
/
热门推荐
/
最新课程
关于我们 免责申明 举报中心 意见反馈 讲师合作 广告合作 最新更新
php中文网:公益在线php培训,帮助PHP学习者快速成长!
关注服务号
PHP中文网订阅号
每天精选资源文章推送

Copyright 2014-2026 https://www.php.cn/ All Rights Reserved | php.cn