PYTHONSAFEPATH=1在Python 3.12中不提升安全性，仅用于抑制DeprecationWarning；该变量无实际功能，因3.12已彻底移除自动将当前目录插入sys.path[0]的行为，安全加固来自默认路径策略而非此环境变量。
PYTHONSAFEPATH 环境变量在 Python 3.12 中并不启用或提高安全性——它恰恰相反：它是用来显式禁用一项潜在风险行为的开关，而这项行为本身在 Python 3.12 中已被默认关闭。
换句话说：设置 PYTHONSAFEPATH=1 不是“开启安全”，而是“确认你已知晓并接受当前安全策略”，它本身不带来新防护，只是防止旧版兼容逻辑意外复活。
为什么 PYTHONSAFEPATH 存在？
Python 3.12 移除了自动将当前目录（.）和空字符串（''）插入 sys.path[0] 的行为。这个改动早在 Python 3.11 就已引入（通过 PYTHONSAFEPATH 控制），而 Python 3.12 **彻底废弃了该逻辑**，无论环境变量是否设置，都不再自动前置当前目录。
- 如果你在 Python 3.12 中仍看到
sys.path[0]是''或'.'，那一定是代码里手动修改了sys.path，或者你运行的是嵌入式解释器且调用了PySys_AddToPath()类似操作 -
PYTHONSAFEPATH在 3.12 中仅用于向后兼容检测：如果设为0，CPython 会发出DeprecationWarning（尽管该变量已无实际作用）
真正影响安全性的行为是什么？
问题核心在于模块导入时的路径搜索顺序： - 旧版 Python（≤3.10）默认把'' 放在 sys.path[0]，意味着执行 import requests 时，会先查当前目录下有没有叫 requests.py
- 攻击者只要诱使用户在恶意目录下运行脚本（比如解压含同名模块的压缩包后直接 python main.py），就可能劫持导入，执行任意代码
Python 3.12 的实际加固点是：
-
sys.path[0]默认为脚本所在目录的绝对路径（非''） - 当前目录不再参与模块查找，除非显式加入
sys.path -
pathlib.Path.cwd()和os.getcwd()的行为未变，但它们不参与 import 机制
设置 PYTHONSAFEPATH=1 有什么实际效果？
在 Python 3.12 中： - 它**不会改变任何导入行为** - 它**不会阻止任何路径解析** - 它唯一作用是：抑制启动时可能出现的DeprecationWarning: PYTHONSAFEPATH=0 is deprecated 提示
- 如果你从 CI/CD 或容器镜像中看到它被设为 1，大概率只是沿用了旧构建脚本，而非出于安全需求
容易踩的坑：
立即学习“Python免费学习笔记（深入）”；
- 误以为设了
PYTHONSAFEPATH=1就“更安全”了，其实安全来自 Python 3.12 默认行为，不是这个变量 - 在调试导入失败时，错误归因于
PYTHONSAFEPATH，而真实原因是sys.path被其他代码篡改，或缺少<strong>init</strong>.py - 忘记检查
sys.path[0]的实际值，只看环境变量就下结论
真正该关注的，是确保你的部署环境没手动往 sys.path 插入不可信路径，以及避免用 exec(open('xxx.py').read()) 这类绕过 import 系统的操作。那些地方的风险，远比纠结 PYTHONSAFEPATH 值要实在得多。
