Python для серверних сценаріїв: де закінчується Bash

Головне

1. Спілкуйтеся з ОС правильно: subprocess.run([...], check=True, capture_output=True) — безпечна оболонка; shell=True і os.system — це шлях ін’єкції, який кусається, коли імена файлів або дані користувача прослизають у рядок.
2. Серіалізація — це перевага Python для операцій: json.load для конфігурацій та API, yaml.safe_load (ніколи не звичайне завантаження) для форматів infra, модуль csv для електронних таблиць; розбір структурованих форматів за допомогою регулярних виразів — це помилка, за яку ви заплатили один раз.
3. Залежності залишаються на своїх смугах: python3 -m venv (або pip install --user) для кожного інструменту, requirements.txt закріплено, і відмова pip у «зовнішньому керованому середовищі» на сучасних дистрибутивах розглядається як огорожа, а не перешкода.
4. Інструменти на стороні SSH достатньо зрілі для використання: paramiko або fabric управляють віддаленими перевірками та паралельними завданнями інвентаризації таким чином, що цикл ssh bash ніколи не створює чітко; повторно використовувати ті самі ключі, яким SSH вже довіряє.
5. Логування краще друкує швидше: модуль журналювання з ротацією дає невидимі для cron сценарії, щоб їх було видно, а послідовний формат рядка журналу («що запущено, що змінилося, що не вдалося») — це те, що фактично читається під час виклику.
6. Ідемпотентність походить від даних, а не від бравади: моделюйте бажаний стан як dicts, порівняйте поточний з бажаним, дійте лише на дельта; саме цей шаблон робить сценарій безпечним для виконання двічі.
7. Сценарії отримують CI, як і будь-який код: функції синтаксичного аналізу модульного тесту та шляхи помилок, ворсинки з ruff і розглядають 400-рядковий main() як інцидент, який очікує на помилку; запасним варіантом є пейджер, а не рефакторинг.
8. Реальність версій на серверах: python3, встановлений у дистрибутиві, старий і стабільний, системні інструменти пов’язані з ним, а apt або yum належать йому; зберігайте власне середовище виконання у venv і залиште інтерпретатор дистрибутива в спокої.

Польова нотатка

Одна випадкова інсталяція pip на кореневому рівні оновила спільну залежність urllib і тихо зламала власний apt-клей дистрибутива до наступного вікна виправлення. Venvs і закріплені вимоги відбувалися на місці, і звичка прижилася.

Часті запитання