নিরাপদ Python — input যাচাই, secret রক্ষা আর dependency-র দেখভাল

১ · নিরাপত্তা মানে বিশ্বাসের সীমানা চেনা

সুমাইয়া একটি কোচিং সেন্টারের জন্য ছোট একটি ওয়েবসাইট বানিয়েছেন। শিক্ষার্থীরা রোল নম্বর লিখলে মডেল টেস্টের ফল দেখায়, শিক্ষকেরা লগইন করে PDF নোট আপলোড করেন, আর একটি বাইরের SMS সেবার API key দিয়ে ফলের খবর পাঠানো হয়। সাইটটি দিব্যি চলছে। কিন্তু একদিন একজন অভিভাবক জানালেন, রোলের ঘরে অদ্ভুত কিছু লেখায় পাতাটি ভেঙে লাল error দেখাচ্ছে — আর সেই error-এ database-এর টেবিলের নাম, ফাইলের পুরো পথ, সব দেখা যাচ্ছে।

কোনো ক্ষতি হয়নি, তবে সতর্ক হওয়ার মতো ঘটনা। সুমাইয়ার কোড “ঠিকঠাক” কাজ করে — যতক্ষণ সবাই ঠিকঠাক ইনপুট দেয়। নিরাপদ কোডের প্রশ্ন ঠিক উল্টো: কেউ ভুল করে বা ইচ্ছা করে অপ্রত্যাশিত কিছু দিলে কী হয়?

এই পর্বের পুরো চিন্তা একটি বাক্যে ধরা যায়: বাইরে থেকে যা আসে, তা ভুল বা ক্ষতিকর হতে পারে — তাই দরজায় যাচাই করুন, secret কোডের বাইরে রাখুন, আর নিজে না বানিয়ে পরীক্ষিত নিরাপদ যন্ত্র ব্যবহার করুন। “বাইরে” মানে শুধু ওয়েব ফর্ম নয়: ফাইল, নেটওয়ার্ক, environment, command-line argument, এমনকি আপনার ইনস্টল করা package-ও। আপনার কোড আর এই বাইরের জগতের মাঝের রেখাটির নাম trust boundary.

নিচের ডায়াগ্রামে সুমাইয়ার সাইটের একটি অনুরোধ বাইরে থেকে database পর্যন্ত কীভাবে যায়, ধাপে ধাপে দেখুন:

roll = "230101"          ← প্রত্যাশিত
roll = " 230101\n"       ← বাড়তি ফাঁকা জায়গা
roll = "২৩০১০১"          ← বাংলা অঙ্ক
roll = (১০ লাখ অক্ষরের লেখা)
roll = (SQL-এর চিহ্নমেশানো লেখা)

roll = roll.strip()
if not (roll.isascii() and roll.isdigit()
        and len(roll) == 6):
    reject("অবৈধ রোল নম্বর")

roll: str  # ঠিক ৬টি ASCII অঙ্ক — প্রমাণিত
# ভেতরের ফাংশনগুলো আর অদ্ভুত ইনপুট নিয়ে ভাবে না

db.execute("SELECT name, gpa FROM result WHERE roll = ?",
           (roll,))

ফল দেখানোর অংশ  → result টেবিলে শুধু SELECT
নোট আপলোড      → শুধু uploads/ ফোল্ডারে লেখা
ভুল হলেও ক্ষতির পরিধি ছোট থাকে

২ · দরজায় যাচাই — allow-list, ধরন, সীমা আর দৈর্ঘ্য

Input validation মানে বাইরের মানকে ব্যবহারের আগে চারটি প্রশ্ন করা:

Allow-list বনাম deny-list

দুইভাবে যাচাই করা যায়। Deny-list: খারাপ জিনিসের তালিকা বানিয়ে সেগুলো আটকানো — যেমন “', ;, .. থাকলে বাতিল”। Allow-list: যা অনুমোদিত, শুধু সেটির নিয়ম লেখা — যেমন “ঠিক ৬টি অঙ্ক”। দ্বিতীয়টি প্রায় সবসময় ভালো। কারণ খারাপ জিনিসের তালিকা কখনো সম্পূর্ণ হয় না — নতুন এনকোডিং, Unicode-এর দেখতে একই রকম অক্ষর, বা আপনার না-ভাবা কোনো রূপ ঠিকই ফাঁক গলে ঢুকে যায়। অন্যদিকে “ঠিক ৬টি অঙ্ক”-এর বাইরে কোনো কিছুই ঢুকতে পারে না।

Python-এ allow-list লেখার কয়েকটি পরিচিত উপায়: ছোট নির্দিষ্ট মানের জন্য একটি set বা Enum; গঠনের জন্য re.fullmatch (পর্ব ২৮ — re.match নয়, কারণ সেটি শুধু শুরুতে মেলায়, শেষে বাড়তি কিছু থাকলেও খুশি থাকে); সংখ্যার জন্য int() রূপান্তর আর পরিসর। রূপান্তর ব্যর্থ হলে ValueError ধরুন আর ব্যবহারকারীকে পরিষ্কার বার্তা দিন (পর্ব ২৪)।

আরও কয়েকটি অভ্যাস:

• আগে স্বাভাবিক রূপ, তারপর যাচাই। strip(), প্রয়োজনে casefold() বা Unicode normalization (পর্ব ০৯) আগে করুন, যাচাই পরে — নইলে যাচাই করা রূপ আর ব্যবহার করা রূপ আলাদা হয়ে যায়।
• দৈর্ঘ্যের সীমা সবসময়। ১০ লাখ অক্ষরের একটি “নাম” আপনার regex বা database-কে অকারণে ধীর করতে পারে। সার্ভারে আপলোডের আকারেও সীমা রাখুন।
• যাচাই সার্ভারে। ব্রাউজারের JavaScript-এর যাচাই শুধু ব্যবহারকারীর সুবিধার জন্য; সেটি পাশ কাটিয়ে সরাসরি অনুরোধ পাঠানো যায়। আসল যাচাই হয় আপনার Python কোডে।
• বড় কাঠামোয় pydantic. FastAPI (পর্ব ৪৮) ভেতরে pydantic ব্যবহার করে: আপনি একটি class-এ ঘরের ধরন আর সীমা লেখেন (roll: str = Field(pattern=...)), আর ভুল ইনপুট আপনার ফাংশনে পৌঁছানোর আগেই পরিষ্কার error-সহ ফেরত যায়।

৩ · Injection — যখন ডেটা নির্দেশ হয়ে যায়

প্রায় সব injection-এর মূল একটিই: প্রোগ্রাম একটি লেখা বানায়, যা অন্য কোনো “ভাষার” interpreter চালাবে — SQL, shell, Python, HTML — আর সেই লেখার ভেতরে বাইরের ডেটা সরাসরি জুড়ে দেয়। তখন ডেটার কোনো অংশ সেই ভাষার চোখে নির্দেশ হয়ে যেতে পারে। সমাধানও তাই একটিই নীতিতে দাঁড়িয়ে: ডেটা আর নির্দেশকে আলাদা পথে পাঠানো, যাতে ডেটা কখনো নির্দেশ হিসেবে পড়া না যায়।

SQL — সবসময় parameterized query

এই কাজটি কখনো করবেন না: f-string, % বা + দিয়ে ব্যবহারকারীর মান SQL লেখার ভেতরে জোড়া — যেমন f"... WHERE roll = '{roll}'". মানের ভেতরে একটি ' চিহ্ন থাকলেই SQL-এর গঠন বদলে যায়। নিরীহ ক্ষেত্রে শুধু error আসে (“D'Costa” নামটিই এমন ভাঙন ঘটায়), কিন্তু একই ফাঁক দিয়ে কেউ ইচ্ছা করে query-র অর্থই বদলে দিতে পারে — এটিই SQL injection. ফলে অন্যের ডেটা দেখা, বদলানো বা মুছে ফেলার মতো গুরুতর ক্ষতি হতে পারে।

সঠিক পথ: SQL লেখায় মানের জায়গায় ? placeholder, আর মানগুলো আলাদা একটি tuple-এ। sqlite3 মডিউল তখন মানকে শুধু ডেটা হিসেবে database-কে দেয় — এর ভেতরে যা-ই থাকুক, SQL-এর গঠনের অংশ হয় না। সুমাইয়ার ফল দেখানোর ফাংশনটি নিরাপদভাবে, allow-list যাচাইসহ:

import sqlite3

db = sqlite3.connect(":memory:")
db.execute("CREATE TABLE result (roll TEXT PRIMARY KEY, name TEXT, gpa REAL)")
db.executemany("INSERT INTO result VALUES (?, ?, ?)",
               [("230101", "Nusrat Jahan", 5.0), ("230102", "Rina D'Costa", 4.75)])

def find_result(roll: str) -> str:
    roll = roll.strip()
    # allow-list: ঠিক ৬টি ASCII অঙ্ক — এর বাইরে কিছুই database পর্যন্ত যাবে না
    if not (roll.isascii() and roll.isdigit() and len(roll) == 6):
        return "অবৈধ রোল নম্বর"
    row = db.execute("SELECT name, gpa FROM result WHERE roll = ?", (roll,)).fetchone()
    return f"{row[0]} — GPA {row[1]}" if row else "ফল পাওয়া যায়নি"

for asked in ["230101", " 230102 ", "2301O1", "২৩০১০১", "999999"]:
    print(f"{asked!r:<10} -> {find_result(asked)}")

একটি সূক্ষ্ম বিষয়: placeholder শুধু মানের জন্য। টেবিল বা কলামের নাম ? দিয়ে বসানো যায় না। ব্যবহারকারী যদি “কোন কলাম অনুযায়ী সাজাবে” বেছে নেন, তাহলে নামটি একটি নির্দিষ্ট allow-list থেকে নিন: {"name", "gpa"}-এর মধ্যে না থাকলে বাতিল। SQLAlchemy-র মতো ORM বা query builder ব্যবহার করলেও ভেতরে এই parameterized পথই চলে — তবে সেখানেও কাঁচা SQL-এর ফাংশনে string জুড়লে একই ঝুঁকি ফিরে আসে।

OS command — list-এ argument, shell=True নয়

পর্ব ৪৯-এ subprocess দিয়ে অন্য প্রোগ্রাম চালানো দেখেছেন। নিরাপদ নিয়মটি সরল: কমান্ড আর তার argument-গুলো একটি list হিসেবে দিন, আর ব্যবহারকারীর মান থাকলে shell=True কখনো নয়। list দিলে Python সরাসরি প্রোগ্রামটি চালায়, প্রতিটি উপাদান একটি আলাদা argument হয় — মাঝে কোনো shell নেই, তাই shell-এর বিশেষ চিহ্ন (;, |, &, $( )) কোনো অর্থ পায় না। shell=True-এ পুরো string-টি shell পড়ে, আর মানের ভেতরের চিহ্ন বাড়তি কমান্ড হয়ে যেতে পারে — এটিই command injection.

import subprocess

# ✗ করবেন না: ব্যবহারকারীর মান shell-এর লেখায়
# subprocess.run(f"zip backup.zip {folder}", shell=True)

# ✓ নিরাপদ: list, shell নেই; "--" এর পরে সব কিছু ফাইলের নাম
subprocess.run(["zip", "-r", "backup.zip", "--", folder], check=True, timeout=60)

সাথে আরও তিনটি অভ্যাস: "--" দিয়ে option শেষ জানান, যাতে - দিয়ে শুরু হওয়া কোনো ফাইলের নাম option হিসেবে পড়া না যায়; সম্ভব হলে বাইরের প্রোগ্রাম না ডেকে Python-এর নিজস্ব যন্ত্র ব্যবহার করুন (shutil.make_archive, shutil.copy, pathlib) — সবচেয়ে নিরাপদ কমান্ড হলো যে কমান্ড চালাতেই হয় না; আর os.system() এড়িয়ে চলুন, কারণ এটি সবসময় shell ব্যবহার করে।

Code — eval/exec কখনো বাইরের ডেটায় নয়

eval() একটি লেখাকে Python কোড হিসেবে চালায়। ব্যবহারকারীর ইনপুট এতে দিলে আপনি আসলে তাঁকে আপনার সার্ভারে যেকোনো Python কোড চালানোর অধিকার দিচ্ছেন — ফাইল পড়া, মুছে ফেলা, সবই। eval(text, {"__builtins__": {}})-এর মতো “খাঁচা” বানানোর চেষ্টা বহুবার ব্যর্থ প্রমাণিত হয়েছে; Python-এর ডকুমেন্টেশনও স্পষ্ট বলে, এটি নিরাপদ খাঁচা নয়। প্রয়োজন অনুযায়ী বিকল্প:

ast.literal_eval-ও সীমাহীন নয় — খুব বড় বা গভীরভাবে নেস্ট করা ইনপুটে মেমরি বা সময় বেশি লাগতে পারে, তাই আগে দৈর্ঘ্যের সীমা দিন। আর ডেটা আদান-প্রদানের জন্য json-ই প্রথম পছন্দ।

HTML — ওয়েব পাতায় দেখানোর আগে escape

ব্যবহারকারীর লেখা মন্তব্য বা নাম যদি সরাসরি HTML পাতায় বসানো হয়, তাহলে লেখার ভেতরের < আর > চিহ্ন ব্রাউজারের চোখে HTML ট্যাগ হয়ে যেতে পারে — এমনকি অন্য দর্শকের ব্রাউজারে চলা script-ও। একে বলে cross-site scripting (XSS). সমাধান হলো দেখানোর মুহূর্তে escape করা: html.escape(text) <-কে <, &-কে &, আর উদ্ধৃতিচিহ্নকে নিরাপদ রূপে বদলে দেয়, ফলে ব্রাউজার সেটিকে শুধু লেখা হিসেবে দেখায়। বাস্তবে Jinja2-র মতো template engine (Flask ও অনেক ফ্রেমওয়ার্কে) HTML template-এ autoescape চালু রাখে — ঝুঁকি আসে তখনই, যখন কেউ |safe বা Markup() দিয়ে সেটি বন্ধ করেন।

৪ · ফাইলের পথ আর deserialization — সীমানার আরও দুটি দরজা

সুমাইয়ার সাইটে শিক্ষার্থীরা নোট নামাতে পারেন: /download?name=physics-ch3.pdf. সার্ভারে সব নোট থাকে একটি নির্দিষ্ট ফোল্ডারে। সরল কোড হতো open(BASE / name). কিন্তু name-এ যদি ../ থাকে, তাহলে পথটি নোটের ফোল্ডার থেকে এক ধাপ ওপরে উঠে যায়, আর অনুমোদিত ফোল্ডারের বাইরের ফাইল — কনফিগ, পাসওয়ার্ডের ফাইল — চলে আসতে পারে। একে বলে path traversal. Absolute path দিলেও একই সমস্যা: BASE / "/etc/hosts"-এর ফল শুধু /etc/hosts, কারণ pathlib-এ ডান দিকে absolute path থাকলে বাঁ দিকটি বাদ পড়ে (পর্ব ২৫)।

সমাধান: পথ জোড়ার পর resolve() দিয়ে আসল, পূর্ণ পথ বের করুন (.. আর symlink খুলে), তারপর যাচাই করুন সেটি অনুমোদিত ফোল্ডারের ভেতরে কি না — is_relative_to() দিয়ে (Python 3.9 থেকে)। ধাপে ধাপে দেখুন, একটি বৈধ আর একটি ../-যুক্ত নামের ক্ষেত্রে কী ঘটে:

1BASE = Path("/srv/notes").resolve()2def safe_path(name: str) -> Path:3    target = (BASE / name).resolve()4    if not target.is_relative_to(BASE):5        raise PermissionError("নিষিদ্ধ পথ")6    return target

pickle শুধু বিশ্বস্ত ডেটায় — বাইরের জন্য json

পর্ব ২৬-এ দেখেছেন, pickle প্রায় যেকোনো Python object সংরক্ষণ করতে পারে। এই ক্ষমতাই তার বিপদ: pickle ফাইল খোলার (pickle.load) সময় ফাইলের ভেতরের নির্দেশ অনুযায়ী যেকোনো ফাংশন ডাকা সম্ভব। তাই অবিশ্বস্ত উৎসের pickle খোলা মানে অচেনা কারও কোড চালানো — arbitrary code execution. Python-এর ডকুমেন্টেশনের pickle পাতার শুরুতেই এই সতর্কবার্তা আছে।

• নেটওয়ার্ক, ব্যবহারকারীর আপলোড বা অন্য কারও ফাইল: json. json শুধু ডেটা (সংখ্যা, লেখা, list, dict) বোঝে; খোলার সময় কোনো কোড চলে না।
• শুধু নিজের প্রোগ্রামের নিজের cache: pickle চলতে পারে — যদি নিশ্চিত হন অন্য কেউ ফাইলটি বদলাতে পারে না।
• মেশিন লার্নিং মডেল: অনেক পুরোনো মডেল-ফাইল ভেতরে pickle ব্যবহার করে। তাই অচেনা উৎসের মডেল খোলার আগে সাবধান; ওজন রাখার জন্য safetensors-এর মতো শুধু-ডেটা ফরম্যাট তৈরি হয়েছে।
• YAML: PyYAML-এ সবসময় yaml.safe_load. পুরোনো yaml.load সাধারণ ডেটার বাইরে Python object বানাতে পারত; PyYAML 6.0 থেকে Loader উল্লেখ না করলে এটি চলেই না।
• XML: অবিশ্বস্ত XML-এর ক্ষেত্রে Python-এর ডকুমেন্টেশনই সতর্ক করে — বিশেষভাবে বানানো XML বিপুল মেমরি খেতে পারে। বাইরের XML পড়তে defusedxml package-এর নিরাপদ parser ব্যবহার করুন।

৫ · Secret — কোডের বাইরে, log-এর বাইরে, git-এর বাইরে

সুমাইয়ার প্রথম সংস্করণে SMS সেবার key কোডের ভেতরেই লেখা ছিল: API_KEY = "sk_live_...". কোডটি GitHub-এ গেলে key-ও গেল — আর পাবলিক repository স্বয়ংক্রিয় প্রোগ্রাম দিয়ে নিয়মিত খোঁজা হয়, ফাঁস হওয়া key খুব দ্রুত অপব্যবহার হতে পারে। API key, database-এর পাসওয়ার্ড, token — এগুলো সবই secret, আর এদের প্রথম নিয়ম: secret কখনো কোডে নয়।

প্রচলিত পথ হলো secret-কে environment variable-এ রাখা, আর কোড শুধু নাম ধরে পড়বে। না পেলে প্রোগ্রাম শুরুতেই পরিষ্কার বার্তা দিয়ে থামবে — অর্ধেক কাজ করে মাঝপথে রহস্যময়ভাবে ভাঙবে না:

import os
import sys

def require_env(name: str) -> str:
    value = os.environ.get(name, "").strip()
    if not value:
        sys.exit(f"কনফিগ ভুল: {name} environment variable সেট করা নেই। "
                 f".env.example দেখে সেট করুন।")
    return value

SMS_API_KEY = require_env("SMS_API_KEY")   # মানটি কখনো print বা log নয়

খেয়াল করুন, error বার্তায় শুধু variable-এর নাম আছে, মান নয়। নিজের কম্পিউটারে প্রতিবার environment variable সেট করা ঝামেলা, তাই প্রজেক্ট-ফোল্ডারে একটি .env ফাইল রাখা হয় (SMS_API_KEY=...), আর python-dotenv-এর মতো package বা টুল সেটি পড়ে environment-এ বসায়। নিয়মগুলো:

• .env সবসময় .gitignore-এ (পর্ব ২৩-এ দেখেছেন)। git-এ রাখুন শুধু .env.example — নামগুলোসহ, মান ফাঁকা — যাতে সহকর্মী জানেন কী কী লাগবে।
• সার্ভারে secret আসে হোস্টিং-সেবার “environment/secrets” সেটিং, CI-এর secret store (যেমন GitHub Actions secrets) বা ক্লাউডের secret manager থেকে।
• প্রতিটি পরিবেশের আলাদা key: নিজের কম্পিউটারের পরীক্ষার key আর আসল সার্ভারের key এক নয়; আর প্রতিটি key-কে সেবার সেটিং থেকে ন্যূনতম অধিকার দিন — least privilege আবার।

Log-এ secret নয়

পর্ব ৪০-এ logging শিখেছেন। ডিবাগের সময় logger.debug(f"config: {settings}") লিখে ফেলা খুব সহজ — আর তাতে পুরো config, key-সহ, log ফাইলে চলে যায়। log ফাইল প্রায়ই অনেক মানুষ ও টুল পড়ে, বহুদিন জমা থাকে। তাই: পাসওয়ার্ড, token, পুরো অনুরোধের header বা body log করবেন না; দরকার হলে শুধু শেষ চারটি অক্ষর (...a9f2); আর secret রাখার class-এর __repr__ এমনভাবে লিখুন যাতে ছাপলে মান না দেখায় (pydantic-এর SecretStr ঠিক এটিই করে)।

Key ফাঁস হলে — মুছে ফেলা যথেষ্ট নয়

ভুল করে key git-এ চলে গেলে পরের commit-এ লাইনটি মুছে দিলেও key পুরোনো commit-এর ইতিহাসে থেকে যায়, আর যে কেউ ইতিমধ্যে দেখে বা কপি করে থাকতে পারে। তাই প্রথম কাজ: সেবার ড্যাশবোর্ড থেকে key বাতিল করে নতুন key তৈরি — একে বলে key rotation. তারপর নতুন key environment-এ বসান, আর সেবার ব্যবহারের ইতিহাসে অস্বাভাবিক কিছু হয়েছে কি না দেখুন। ইতিহাস থেকে মুছে ফেলা (git filter-repo-এর মতো টুল দিয়ে) পরের কাজ, বিকল্প নয়।

প্রতিরোধের জন্য আছে secret scanning: GitHub পরিচিত ধরনের key-র নকশা চিনে সতর্ক করে, আর “push protection” চালু থাকলে key-সহ commit push করার মুহূর্তেই আটকে দেয় — ২০২৪ সাল থেকে পাবলিক repository-তে এটি ডিফল্টভাবে চালু। নিজের কম্পিউটারে commit-এর আগে চালানোর জন্য gitleaks বা detect-secrets-এর মতো টুলও আছে।

Secret বানাতে secrets, random নয়

পর্ব ২৭-এ দেখেছেন, random module-এর সংখ্যা পরিসংখ্যানের দিক থেকে এলোমেলো, কিন্তু নিরাপত্তার জন্য নয়: এর ভেতরের Mersenne Twister যথেষ্ট আউটপুট দেখে পরের মান অনুমানযোগ্য। Password-reset-এর লিংক, OTP, session token বা API key বানাতে সবসময় secrets module (Python 3.6 থেকে), যা অপারেটিং সিস্টেমের নিরাপদ উৎস (CSPRNG) ব্যবহার করে: secrets.token_urlsafe(32), secrets.token_hex(16), আর OTP-র জন্য secrets.randbelow(10**6).

৬ · পাসওয়ার্ড — hashing, encryption আর encoding-এর পার্থক্য

সুমাইয়ার শিক্ষকদের লগইন আছে। পাসওয়ার্ড কীভাবে রাখবেন? প্রথমে তিনটি শব্দ আলাদা করা দরকার, কারণ এগুলো প্রায়ই গুলিয়ে যায় — আর AI-এর লেখা কোডেও:

কিন্তু সাধারণ hash (MD5, SHA-1, এমনকি SHA-256) পাসওয়ার্ডের জন্য যথেষ্ট নয়। দুটি কারণ:

• এগুলো খুব দ্রুত। ফাইলের ছাপ নেওয়ার জন্য দ্রুত হওয়াই ভালো। কিন্তু database কোনোভাবে ফাঁস হলে আক্রমণকারী নিজের যন্ত্রে সেকেন্ডে কোটি কোটি অনুমান মিলিয়ে দেখতে পারে, আর সাধারণ পাসওয়ার্ডগুলো দ্রুত বেরিয়ে যায়।
• salt ছাড়া একই পাসওয়ার্ডের একই ছাপ। দুজন শিক্ষকের পাসওয়ার্ড এক হলে hash-ও এক — একটি ভাঙলে দুটিই। আর আগে থেকে হিসাব করে রাখা বিশাল তালিকা (rainbow table) দিয়ে মিলিয়ে দেখা সহজ হয়।

সমাধান: প্রতিটি ব্যবহারকারীর জন্য আলাদা random salt, আর ইচ্ছা করে ধীর একটি password-hashing ফাংশন — যাকে বলে key derivation function (KDF). আসল ব্যবহারকারীর লগইনে একবার মেলাতে কয়েক মিলিসেকেন্ড বেশি লাগলে কেউ টের পান না; কিন্তু কোটিবার অনুমানের খরচ বিপুল হয়ে যায়। পুরো পাইপলাইনটি দেখুন:

password = form["password"]     # log-এ নয়, database-এ নয়
if len(password) < 12: reject("অন্তত ১২ অক্ষর")

salt = secrets.token_bytes(16)   # ১২৮ বিট, প্রতি ব্যবহারকারী নতুন
একই পাসওয়ার্ড + ভিন্ন salt → সম্পূর্ণ ভিন্ন hash

digest = hashlib.scrypt(password.encode(), salt=salt,
                        n=2**14, r=8, p=1, dklen=32)

username | password_hash
nasrin   | scrypt$16384$8$1$<salt hex>$<hash hex>

candidate = scrypt(typed.encode(), salt=stored_salt, ...)
ok = hmac.compare_digest(candidate, stored_hash)

Python-এর standard library দিয়েই পুরো পাইপলাইনটি লেখা যায় — hashlib.scrypt (Python 3.6 থেকে, OpenSSL-এর ওপর নির্ভর করে) বা hashlib.pbkdf2_hmac, আর hmac.compare_digest. নিচের কোডে ফল মেলানোর সুবিধার জন্য salt নির্দিষ্ট রাখা হয়েছে; আসল কোডে প্রতিবার secrets.token_bytes(16):

import hashlib
import hmac
import secrets

def hash_password(password: str, salt: bytes) -> bytes:
    # scrypt ইচ্ছা করে ধীর ও মেমরি-খেকো: একবার মেলাতে সমস্যা নেই, কোটিবার অনুমান ব্যয়বহুল
    return hashlib.scrypt(password.encode(), salt=salt, n=2**14, r=8, p=1, dklen=32)

def verify(password: str, salt: bytes, stored: bytes) -> bool:
    return hmac.compare_digest(hash_password(password, salt), stored)

salt_a, salt_b = b"demo-salt-000001", b"demo-salt-000002"   # বাস্তবে token_bytes(16)
stored = hash_password("Padma@2026", salt_a)               # database-এ যায় salt + hash
print("hash-এর দৈর্ঘ্য:", len(stored), "byte")
print("সঠিক পাসওয়ার্ড:", verify("Padma@2026", salt_a, stored))
print("এক অক্ষর ভিন্ন:", verify("padma@2026", salt_a, stored))
print("ভিন্ন salt-এ একই hash?", hash_password("Padma@2026", salt_b) == stored)
token = secrets.token_urlsafe(32)                          # মানটি কখনো ছাপবেন না
print("নতুন API token-এর দৈর্ঘ্য:", len(token), "অক্ষর")

বাস্তব প্রজেক্টে নিজে এই কোড না লিখে পরিচিত library নিন: argon2-cffi (Argon2id — বর্তমানে OWASP-এর প্রথম পছন্দ), bcrypt, বা Django-র মতো ফ্রেমওয়ার্কের নিজস্ব পাসওয়ার্ড ব্যবস্থা (Django ডিফল্টভাবে PBKDF2 ব্যবহার করে)। এগুলো salt, প্যারামিটার, ফরম্যাট আর ভবিষ্যতে প্যারামিটার আপডেট — সব নিজেই সামলায়। standard library-র বাইরে যেতে না চাইলে উপরের scrypt বা যথেষ্ট বেশি iteration-সহ pbkdf2_hmac. যা কখনো নয়: সাদা লেখায় পাসওয়ার্ড, MD5/SHA-1/SHA-256 একবার চালানো, base64 “এনক্রিপশন”, আর নিজের বানানো “গোপন” অ্যালগরিদম।

৭ · Dependency আর টুল — নিজের চোখের পাশাপাশি যন্ত্রের চোখ

আপনার প্রজেক্টের বেশিরভাগ কোড আপনি লেখেননি — সেগুলো dependency (পর্ব ২৩)। তাদের কোনোটিতে নিরাপত্তা-ত্রুটি ধরা পড়লে আপনার প্রজেক্টও ঝুঁকিতে। এমন প্রকাশ্য ত্রুটিগুলো একটি সাধারণ নম্বর পায় — CVE (যেমন CVE-2024-xxxxx) — আর ডেটাবেসে জমা হয়। আপনার কাজ চারটি অভ্যাস:

• নাম যাচাই করে ইনস্টল। Typosquatting আর AI-এর বানানো নাম (পর্ব ২৩) — pypi.org-এ নাম, বয়স, repo দেখে নিন।
• Pin আর lock. Pinning করা থাকলে নতুন কোনো version আপনার অজান্তে আসে না; hash-সহ lock file থাকলে নামানো ফাইল বদলানোও ধরা পড়ে (pip install --require-hashes).
• নিয়মিত audit. pip-audit আপনার ইনস্টল করা version-গুলো জানা ত্রুটির ডেটাবেসের সাথে মেলায়।
• আপডেট রাখা — Python নিজেও। প্রতিটি Python version নির্দিষ্ট সময় পর্যন্ত নিরাপত্তা-সংশোধন পায়; মেয়াদ শেষ হওয়া version (যেমন Python 3.8, ২০২৪ সালে শেষ) আর কোনো সংশোধন পায় না।

Pinning আর আপডেটের মধ্যে টানাপোড়েন আছে: বেঁধে রাখলে স্থিতি, কিন্তু পুরোনো ত্রুটিও বেঁধে থাকে। সমাধান হলো আপডেটকে একটি নিয়মিত, পরীক্ষিত প্রক্রিয়া বানানো। একটি ছোট দলের প্রক্রিয়া ধাপে ধাপে:

fastapi==0.115.0
jinja2==3.1.3
requests==2.31.0

$ pip-audit -r requirements.txt
Found 1 known vulnerability in 1 package
Name     Version ID              Fix Versions
-------- ------- --------------- ------------
requests 2.31.0  (একটি CVE ID)   2.32.0

Bump requests from 2.31.0 to 2.32.x
- requests==2.31.0
+ requests==2.32.x
Release notes · Changelog · Compatibility score

ruff check .           ✓
bandit -r src -q       ✓
pytest                 ✓ 84 passed

$ pip-audit -r requirements.txt
No known vulnerabilities found

কোডের জন্য নিরাপত্তা-linter

নিজের কোডের পরিচিত ঝুঁকিপূর্ণ নকশা ধরতে আছে static analysis টুল — এরা কোড না চালিয়ে পড়ে:

• bandit: শুরুতে OpenStack প্রজেক্টে তৈরি, এখন PyCQA দলের রক্ষণাবেক্ষণে। eval, pickle.loads, shell=True, কোডে বসানো পাসওয়ার্ডের মতো দেখতে string, yaml.load, assert, MD5 — এমন নকশা খুঁজে সতর্ক করে।
• ruff-এর S নিয়ম: পর্ব ৪৪-এ দেখা ruff-এ flake8-bandit-এর নিয়মগুলো S উপসর্গে আছে (যেমন S608 — string দিয়ে বানানো SQL-এর সন্দেহ)। pyproject.toml-এ select-এ "S" যোগ করলেই প্রতিটি সংরক্ষণে পরীক্ষা।
• CodeQL, Semgrep: আরও গভীর বিশ্লেষণ — বাইরের ডেটা কোন পথে গিয়ে বিপজ্জনক জায়গায় পৌঁছায়, তা অনুসরণ করে।

python -m pip install bandit pip-audit
bandit -r src/                 # নিজের কোডে ঝুঁকিপূর্ণ নকশা
pip-audit                      # dependency-তে জানা ত্রুটি
ruff check --select S src/     # ruff-এর নিরাপত্তা-নিয়ম

এই টুলগুলো false positive দেয় — যেমন পরীক্ষার কোডে assert, বা এমন subprocess যেখানে কোনো বাইরের ডেটা নেই। ভেবে দেখে নিশ্চিত হলে সেই লাইনে # nosec (bandit) বা # noqa: S603 (ruff) দিয়ে কারণসহ চুপ করান — পুরো নিয়ম বন্ধ করবেন না। আর মনে রাখুন, টুল পরিষ্কার বললেই কোড নিরাপদ নয়; টুল শুধু চেনা নকশা ধরে, নকশার ভুল (যেমন ভুল জায়গায় অধিকার যাচাই) ধরে না।

৮ · Python-এর নিজস্ব ফাঁদ, error-এর ভাষা আর ছোট প্রজেক্টের চেকলিস্ট

assert দিয়ে নিরাপত্তা-যাচাই নয়

assert user.is_admin, "অনুমতি নেই" দেখতে যুক্তিসংগত। কিন্তু Python-কে -O flag দিয়ে (বা PYTHONOPTIMIZE environment variable দিয়ে) চালালে সব assert কোড থেকে বাদ পড়ে — যাচাইটিই আর থাকে না। assert হলো প্রোগ্রামারের নিজের ধারণা পরীক্ষার জন্য (পর্ব ৩৯-এর টেস্টে), নিরাপত্তার জন্য নয়। অধিকার যাচাই সবসময় সাধারণ if আর raise দিয়ে:

# ✗ python -O দিলে এই লাইন মুছে যায়
assert user.is_admin, "অনুমতি নেই"

# ✓ সবসময় চলে
if not user.is_admin:
    raise PermissionError("এই কাজের অনুমতি নেই")

Error বার্তা — ব্যবহারকারীকে সংক্ষেপে, log-এ বিস্তারিত

সুমাইয়ার সাইটের মূল সমস্যাটি মনে করুন: error পাতায় traceback, টেবিলের নাম, ফাইলের পথ। এগুলো ডিবাগে কাজের, কিন্তু বাইরের মানুষের কাছে আপনার সিস্টেমের মানচিত্র — এটি information disclosure. নিয়ম:

• আসল সার্ভারে debug mode বন্ধ (Flask-এ debug=False, Django-তে DEBUG = False). Debug পাতা শুধু নিজের কম্পিউটারে।
• ব্যবহারকারী পাবেন সাধারণ বার্তা আর একটি ছোট রেফারেন্স নম্বর: “কিছু একটা ভুল হয়েছে (রেফ: 7f3a)”. পুরো traceback যাবে log-এ (logger.exception), সেই নম্বরসহ — যাতে আপনি খুঁজে পান।
• লগইনে “এই ইউজার নেই” আর “পাসওয়ার্ড ভুল” আলাদা না বলে একটিই বার্তা: “ইউজারনেম বা পাসওয়ার্ড ভুল”। নইলে কোন অ্যাকাউন্ট আছে, তা বাইরে থেকে জানা যায়। সাথে বারবার ভুল চেষ্টায় গতি কমানো (rate limiting).
• সব exception চুপচাপ গিলে ফেলাও (except: pass) সমাধান নয় — তাহলে আপনি নিজেই সমস্যা দেখবেন না (পর্ব ২৪)।

আরও কয়েকটি Python-নির্দিষ্ট অভ্যাস

• অস্থায়ী ফাইল: tempfile.NamedTemporaryFile(), tempfile.mkstemp() বা TemporaryDirectory() — এগুলো অনুমান-অযোগ্য নামে, শুধু আপনার পড়ার-লেখার অনুমতিসহ ফাইল বানায়। নিজে /tmp/myapp.txt-এর মতো নির্দিষ্ট নাম ব্যবহার, বা বহু আগে বাতিল ঘোষিত tempfile.mktemp() নয়।
• ফাইলের অনুমতি: secret-যুক্ত ফাইল (যেমন .env) Linux সার্ভারে শুধু মালিক পড়তে পারুক (chmod 600). প্রোগ্রাম root বা admin হিসেবে চালাবেন না — least privilege.
• বাইরের অনুরোধে timeout: নেটওয়ার্ক অনুরোধে (পর্ব ৪৭) সবসময় timeout= দিন, আর আপলোড/ইনপুটের আকারে সীমা — নইলে একটি ধীর বা বিশাল অনুরোধেই প্রোগ্রাম আটকে যেতে পারে।
• ব্যবহারকারীর দেওয়া URL: আপনার সার্ভার ব্যবহারকারীর দেওয়া যেকোনো URL থেকে ডেটা আনলে সেটি ভেতরের নেটওয়ার্কের ঠিকানাও হতে পারে। শুধু অনুমোদিত ডোমেইনের allow-list থেকে আনুন।

ছোট প্রজেক্টের নিরাপত্তা-চেকলিস্ট

বড় প্রতিষ্ঠানের নিরাপত্তা-দল আছে; আপনার ছোট প্রজেক্ট বা ক্যাপস্টোনের জন্য এই দশটি প্রশ্নই যথেষ্ট শুরু:

• বাইরের প্রতিটি ইনপুট দরজায় allow-list, ধরন, সীমা আর দৈর্ঘ্য দিয়ে যাচাই হয়
• সব SQL parameterized; কোথাও f-string বা + দিয়ে SQL বানানো নেই
• eval, exec, বাইরের ডেটায় pickle, shell=True আর yaml.load নেই
• ব্যবহারকারীর দেওয়া ফাইলের নাম resolve() + is_relative_to() দিয়ে যাচাই হয়
• কোনো secret কোডে বা git-এ নেই; .env আছে .gitignore-এ, .env.example আছে git-এ
• পাসওয়ার্ড salt-সহ ধীর hash-এ রাখা; তুলনা compare_digest দিয়ে; token বানানো হয় secrets দিয়ে
• log-এ পাসওয়ার্ড, token বা পুরো config যায় না; আসল সার্ভারে debug বন্ধ
• অধিকার যাচাই if/raise দিয়ে, assert দিয়ে নয়; প্রতিটি অংশ ন্যূনতম অধিকারে চলে
• dependency pin করা; pip-audit আর bandit (বা ruff-এর S নিয়ম) CI-তে চলে
• Python আর package-এর version সমর্থিত সীমার ভেতরে; Dependabot বা একই ধরনের আপডেট-ব্যবস্থা চালু

৯ · AI-এর যুগে — AI-এর লেখা কোডে নিরাপত্তার ফাঁক খোঁজা

AI খুব দ্রুত “কাজ করে” এমন কোড দেয়। কিন্তু AI শিখেছে ইন্টারনেটের বহু বছরের কোড থেকে, যার বড় অংশ টিউটোরিয়াল আর ছোট উদাহরণ — যেখানে নিরাপত্তা প্রায়ই বাদ দেওয়া হয় “সরলতার জন্য”। তাই AI-এর কোডে কিছু নির্দিষ্ট ভুল বারবার দেখা যায়। এগুলো চোখে পড়লেই থামুন:

AI-কে নিরাপত্তা-রিভিউয়ের সহকারী হিসেবেও ব্যবহার করা যায় — অনেক সময় বেশ ভালো কাজ করে। কিন্তু রিভিউও AI-এর আরেকটি উত্তর: কিছু বাদ পড়তে পারে, কিছু ভুল সতর্কতাও আসতে পারে। তাই নিয়ম হলো AI-এর রিভিউ + টুলের যাচাই + নিজের বোঝা. প্রম্পটে কাঠামো দিন, যাতে উত্তর যাচাইযোগ্য হয়:

AI-এর রিভিউয়ের পরে — যাচাইয়ের চেকলিস্ট

• bandit -r আর ruff check --select S চালিয়ে AI-এর তালিকার সাথে মিলিয়েছি — কোনোটিতে বাড়তি কিছু এলে নিজে বুঝে দেখেছি
• AI-এর সংশোধিত কোডে আবার একই খোঁজ: নতুন কোনো string-জোড়া SQL, shell=True বা কোডে বসানো key ঢোকেনি
• AI যে package-এর নাম বলেছে (যেমন argon2-cffi), সেটি pypi.org-এ যাচাই করে pin করে ইনস্টল করেছি
• ভুল ইনপুটের টেস্ট লিখেছি: খালি, খুব লম্বা, বাংলা অঙ্ক, ' চিহ্নযুক্ত নাম, ../-যুক্ত ফাইলের নাম — প্রতিটি পরিষ্কারভাবে বাতিল হয়
• AI-কে কোড দেওয়ার আগে আসল key, পাসওয়ার্ড বা ব্যবহারকারীর ব্যক্তিগত তথ্য মুছে নকল মান বসিয়েছি