installations de python global et local, et en cours d'exécution accidentellement un fichier des exigences en dehors de virtualenv

Question

donc je googler un événement où pip requis privilèges de Sudo, et je suis tombé sur les deux fils suivants What are the risks of running 'sudo pip'? et Is it acceptable & safe to run pip install under sudo?

Le premier thread parle du risque de sécurité d'exécuter un fichier .py inconnu avec pip (a du sens), mais à partir du second j'ai presque eu l'impression qu'il existe une installation python globale et locale que vous ne devriez pas mélanger. Je suppose qu'il est logique que vous puissiez avoir une installation globale pour tous les utilisateurs et peut-être un chemin d'accès aux paquets locaux pour chaque utilisateur, mais est-ce vrai? (cela aurait aussi du sens puisque ubuntu (que j'utilise) a des dépendances sur certains paquets python, donc avoir un répertoire python protégé par une racine globale les protégerait). Cependant, si cela est vrai, je ne trouve pas les deux répertoires séparés. J'ai essayé

import sys 
print(sys.path) 

avec sudo et sans sudo, et j'ai obtenu exactement les mêmes répertoires.

En tout cas, je pense que je vais passer à pip virtualenv, mais dans ce cas je me demandais, que se passerait-il si j'oubliais accidentellement d'activer l'environnement et couru un exotic requirements.txt dehors? Cela ne va-t-il pas corrompre mon répertoire utilisateur standard que j'essaye de garder propre (si c'est le cas, est-ce que c'est revertible?) Je pense juste, il oublie de taper un commando, et puis votre installation python est foirée

Answer 1

Je conseille en effet de toujours utiliser virtualenv pour les besoins spécifiques d'une certaine application. Les outils que vous utilisez en tant que développeur pour plusieurs projets (quelque chose comme ipdb) sont bien à installer globalement sur le système. Notez que tous les paquets pip sont open source, donc vous avez l'assurance que les paquets de pip célèbres ne contiennent probablement pas de code malveillant, mais pourraient contenir des fuites de sécurité bien sûr.

Pour éviter l'installation accidentelle d'un paquet de pépin en dehors d'un virtualenv, vous pouvez ajouter à votre .bashrc:

export PIP_REQUIRE_VIRTUALENV=true 

Lorsque vous exécutez alors pip install something en dehors d'un virtualenv, il affichera un message d'erreur:

Could not find an activated virtualenv (required). 

Si vous voulez toujours pouvoir installer des paquets pip en dehors d'un virtualenv, vous pouvez ajouter une fonction dans votre .bashrc comme ceci:

syspip() { 
    PIP_REQUIRE_VIRTUALENV="" sudo pip "$@" 
} 

Ensuite, vous pouvez exécuter syspip install something pour installer quelque chose globalement sur votre système.

En ce qui concerne le script que vous utilisez:

import sys 
print(sys.path) 

Peu importe si vous exécutez cela avec sudo ou non, sudo ne change que les privilèges utilisateur que vous exécutez la commande avec, pour ce script, il n'a pas d'importance.

Answer 2

Exécution sudo pip install <package> va installer le package à l'ensemble du système de paquets, généralement stocké quelque part comme /usr/lib/python2.7/site-packages. L'exécution de pip install package sans virtualenv activé tentera d'installer le paquet au même endroit, mais parce que (si votre système est correctement configuré/correctement) vous n'aurez pas accès en écriture à ce dossier, la commande d'installation échouera.

Il est généralement préférable d'utiliser des paquets de distribution si vous le pouvez pour des installations globales si vous devez absolument les installer globalement, car vous bénéficiez alors de mises à jour automatiques. Comme vous l'avez compris, il est préférable de ne pas installer de paquetages du tout, et d'utiliser virtualenvs.