Está me dando permissão de gravação no meu diretório Python 'site-packages' uma maneira de evitar riscos 'sudo pip'?

Question

Eu entendo que existem riscos de segurança ao instalar pip em sudo , mas por várias razões eu gostaria de continuar instalando meus pacotes em site-packages (no OSX 10.9), que atualmente requer que sudo para pip funcione.

Seria apenas me dar permissão para escrever para site-packages evitar esses problemas? Há novos riscos de segurança associados a isso? Ou talvez a alternativa seja criar um novo usuário que possua site-packages , especificamente para uso com pip ?

Note que não se trata de usar o virtualenv para evitar esse problema.

    

Answer 1

Sim, você está se abrindo para um enorme risco à segurança. Muitos utilitários do sistema são escritos em Python que são executados sob privilégios de root. Se você se der privilégios de gravação aos pacotes de site do sistema, estará arriscando que qualquer programa executado sob você (não necessariamente o programa python) possa injetar código malicioso nos pacotes de site do sistema e obter privilégios de root. Se você criar outro usuário especificamente para possuir os pacotes de site do sistema, seu vetor de ataque é apenas o setup.py mal-intencionado. É melhor não tocar nos pacotes de site do sistema e usar o virtualenv.