python - 运行 'sudo pip' 有什么风险？

Question

我偶尔会遇到 comments or responses强调在 sudo 下运行 pip 是“错误”或“坏”，但在某些情况下(包括我设置一堆工具的方式)它要么更简单，甚至有必要以这种方式运行它。

在sudo下运行pip有什么风险？

---

请注意，这与 this one 的问题不同。 ，尽管有标题，但没有提供有关风险的信息。这也不是关于如何避免使用 sudo 的问题，而是关于具体为什么要使用的问题。

Answer 1

当您使用 sudo 运行 pip 时，您会使用 sudo 运行 setup.py。换句话说，您以 root 身份从 Internet 运行任意 Python 代码。如果有人在 PyPI 上放置了一个恶意项目并且你安装了它，你就给了攻击者对你机器的 root 访问权限。在最近对 pip 和 PyPI 进行一些修复之前，攻击者还可以在您下载可信项目时运行中间人攻击以注入(inject)他们的代码。