硬编码密码必然暴露于exe中，因pyinstaller仅打包资源而不混淆字符串；os.environ调用无法隐藏字段名，strings工具可直接提取"db_password"等明文标识，且临时目录路径可被print(sys._meipass)泄露。
PyInstaller 打包时，硬编码的数据库密码一定会出现在最终可执行文件里，且极易被提取——这不是配置问题，是设计限制。
为什么 os.environ 不能直接写在入口文件里就完事？
很多人把 DB_PASSWORD = os.environ.get("DB_PASSWORD") 放在 main.py 开头，以为“没写死就安全了”。但 PyInstaller 启动时会先解压全部资源到临时目录（如 MEIxxxxx），其中 .pyc 文件反编译后仍能还原出这行代码结构，而 os.environ 调用本身不构成任何混淆。更麻烦的是，如果打包命令用了 --onefile，整个 zip 包会被完整加载进内存，strings 工具一扫就能命中 DB_PASSWORD 字符串。
- 真正安全的做法是：入口文件里**完全不出现任何敏感字段名**，连
"DB_PASSWORD"这种字符串都不能有 - 环境变量名也建议变形，比如用
"X_DB_PWD_2026"替代直白命名，避免被正则批量匹配 - 如果必须提示用户设置，改用运行时交互式输入，而非依赖环境变量预设
--add-data 加载外部配置文件的陷阱
用 pyinstaller --add-data "config.yaml;." 把配置文件打进包里，看似隔离了源码，实则只是把明文密码从 Python 文件挪到了 YAML 里——sys._MEIPASS 下的路径仍是可访问的，且该路径在运行时可通过 import sys; print(sys._MEIPASS) 直接打印出来。
仅使用 Python 将 Claw Code 虚拟化框架与 OpenClaw 集成，提供 184 种工具和 200 多条命令，用于安全分析和代码质量...
- 配置文件必须加密存储，推荐用 AES-256-CBC，密钥由多段拼接生成（例如：
part1来自资源文件头 4 字节，part2来自某函数__doc__的哈希前 8 位） - 解密逻辑必须放在独立模块中，且该模块本身要通过 Cython 编译为
.pyd，关键函数用cdef声明，禁用boundscheck和wraparound - 绝不要用
base64.b64decode或json.loads直接处理密文字符串——这些函数名和参数结构会在字节码中清晰暴露
打包前必须做的三道静态检查
很多泄露发生在打包前一刻：开发者顺手调试加了一行 print(f"Connecting to {DB_URL} with {DB_PASSWORD}")，忘了删。这类低级错误占真实泄露事件的 60% 以上。
- 用
seninfo工具扫描整个项目目录，重点检查.py、.yaml、.env、.md文件，规则库至少启用aws_key、db_credential、email_phone三类 - 在 CI 流程中加入
grep -r -i -E "(password|pwd|secret|key|token|host.*=|user.*=)" . --include="*.py" --include="*.yaml"，失败即阻断构建 - 禁止在 Git 提交中出现
config.py或settings_local.py—— 这类文件应始终在.gitignore中，且项目根目录只保留settings_template.py
最危险的不是你不知道怎么藏密钥，而是你相信“只要不写进源码就没事”。PyInstaller 不是保险箱，它是个透明玻璃盒——你能控制的只有往里放什么、怎么放、以及盒子外面加几层遮挡布。真正难的，是让逆向者即使拿到盒子，也找不到拉链在哪。
Python免费学习笔记（深入）：立即使用
在学习笔记中，你将探索 Python 的核心概念和高级技巧！
