直接用 open() 读取 /etc/shadow 报 PermissionError 是因为内核拒绝普通用户访问该文件，Python 只是透传系统调用错误；解决前提是进程已具备权限（如 root 运行或 ACL 授权），os.access() 预检比异常捕获更可靠准确。
为什么直接用 open() 读取 /etc/shadow 会报 PermissionError
Linux/macOS 下，像 /etc/shadow、/proc/kcore 这类文件默认只允许 root 用户读取。普通用户调用 open("/etc/shadow", "r") 会立刻触发 PermissionError: [Errno 13] Permission denied —— Python 本身不绕过内核权限检查，它只是老老实实把系统调用错误原样抛出来。
常见误区是试图用 try/except 捕获后“降级处理”，但这解决不了权限本质问题；也有人想用 subprocess.run(["sudo", "cat", "/etc/shadow"])，但交互式密码输入不可控，且 sudo 配置未放开时仍失败。
- 真正可行的前提：当前进程已具备对应文件的读取权限（如以 root 身份运行，或文件 ACL 已显式授权）
- Python 不提供“提权接口”，任何绕过
open()权限检查的尝试（比如用 ctypes 调用低层 syscall）依然受内核限制 - 若脚本必须由非 root 用户执行，唯一合规路径是让管理员提前配置好最小权限：例如用
setfacl -m u:myuser:r /etc/shadow，或把用户加入shadow组（需系统支持且该组有对应权限）
用 os.access() 预检权限比捕获异常更可靠
靠 try/except PermissionError 判断能否读取，容易和路径不存在、磁盘只读等其他错误混淆。而 os.access(path, os.R_OK) 直接模拟当前进程的读权限检查，返回布尔值，语义清晰。
注意：os.access() 检查的是**真实有效权限**（含 capability、SELinux 等），不是仅看传统 rwx 位，比手动解析 stat 更准确。
立即学习“Python免费学习笔记（深入）”；
- 务必在
open()前调用，避免竞态：权限可能在两次系统调用之间被修改 - 不要混用
os.access()和os.stat()的 uid/gid 判断——后者不反映 capability 或 SELinux 约束 - 示例：
import os
<p>path = "/etc/shadow"
if os.access(path, os.R_OK):
with open(path, "r") as f:
content = f.read()
else:
print(f"拒绝访问：{path}（无读取权限）")
读取敏感文件时必须禁用缓冲和延迟关闭
敏感内容一旦载入内存，就可能被 core dump、swap 或调试器捕获。Python 默认的文本模式缓冲和对象缓存会延长数据驻留时间。
- 用
open(..., buffering=0)强制无缓冲二进制读取（仅适用于字节操作） - 对文本内容，优先用
open(..., newline="", encoding="utf-8")并立即解码处理，避免 str 对象长期持有原始字节 - 处理完立刻调用
del content，再调用gc.collect()（仅对大文件有意义） - 关键字段（如密码哈希）绝不存为全局变量或日志输出；用
bytearray替代bytes可在处理后主动清零：
# 安全读取并擦除
with open("/etc/shadow", "rb") as f:
raw = bytearray(f.read())
# ... 解析逻辑 ...
# 处理完毕后清空内存
for i in range(len(raw)):
raw[i] = 0
替代方案：通过特权代理服务间接访问
生产环境强烈建议避免脚本直连敏感路径。更安全的做法是部署一个最小特权的本地服务（如 Unix domain socket server），由 root 启动，只暴露必要接口（例如 “获取指定用户的 shadow 条目”），客户端通过 socket 发起请求。
这样既隔离了权限边界，又便于审计和限流。Python 中可用 socket.AF_UNIX 快速实现，服务端用 os.chown(sock_path, 0, gid_of_trusted_group) 控制访问组。
- 不要用 HTTP 服务暴露此类接口——额外引入 TLS、认证、CORS 等复杂度，且易被误配成公网可访问
- 避免把敏感数据序列化后传回客户端；服务端应完成所有解析，只返回脱敏结果（如 “用户是否存在”、“密码是否过期”）
- 客户端连接前必须验证 socket 文件属主和权限（
stat.st_uid == 0 and stat.st_mode & 0o700 == 0o700），防止 symlink 攻击
真正的难点从来不在 Python 语法，而在于权限模型的理解和最小特权原则的落地。哪怕代码写得再“安全”，如果进程本身不该有那个权限，一切加固都是徒劳。
