如何安全地在Python中创建临时文件来防止生产环境数据泄露？
NamedTemporaryFile 文件残留因系统限制和未显式关闭导致；mkdtemp 默认权限不安全需设 mode=0o700；TemporaryDirectory 清理可能静默失败应手动管理；Windows 下需重试+shutil.move 避免 AV 冲突；统一用 tempfile.gettempdir() 获取路径。
用 tempfile.NamedTemporaryFile 时为什么文件还在磁盘上？
默认情况下，NamedTemporaryFile 创建的文件在 Windows 上不会自动删除（即使指定了 delete=True），因为 Python 在文件仍被打开时无法删除它；Linux/macOS 虽支持“unlink after open”，但若程序崩溃或未显式关闭，文件可能残留。更危险的是：如果没设 delete=False 却手动调用 .name 并传递给外部命令（如 subprocess.run(['cat', f.name])），进程退出后文件仍存在，且权限可能是世界可读。
实操建议：
立即学习“Python免费学习笔记（深入）”；
- 始终显式传参
delete=False，并在使用完毕后用os.unlink(f.name)清理 —— 这样你能控制删除时机，也便于加try/finally - 避免直接暴露
.name给子进程；改用subprocess.run(..., stdin=f)或shutil.copyfileobj()流式处理 - 创建时强制指定
dir和prefix，比如dir="/tmp"+prefix="myapp_2024_"，防止写入非预期路径（如当前目录）
临时目录权限不安全导致其他用户可读写
tempfile.mkdtemp() 默认创建的目录权限是 0o755（即 group/o 可读），在多用户服务器上，这等于把临时数据对同组或所有用户开放。尤其当你的服务以低权限用户运行（如 www-data），而攻击者也在同一系统上跑进程时，风险极高。
实操建议：
立即学习“Python免费学习笔记（深入）”；
- 务必传
mode=0o700，例如：tempfile.mkdtemp(mode=0o700) - 创建后立即检查：
os.stat(tmp_dir).st_mode & 0o777 == 0o700，不匹配就shutil.rmtree()并报错 - 不要复用全局临时目录（如
/tmp/myapp/），每次请求都新建独立目录，用完即删
用 tempfile.TemporaryDirectory 的陷阱：__exit__ 不保证清理成功
TemporaryDirectory 的上下文管理器在 __exit__ 中调用 shutil.rmtree()，但该函数遇到只读文件、权限不足或 NFS 错误时会静默失败（Python 3.12 前），导致目录残留。生产环境里，这类残留积累几天就可能填满 /tmp，还暴露历史数据。
实操建议：
立即学习“Python免费学习笔记（深入）”；
- 不用
with TemporaryDirectory() as tmp:就完事；改成手动管理：tmp = tempfile.TemporaryDirectory(); try: ... finally: tmp.cleanup() - 在
finally块中捕获OSError，记录错误并尝试os.chmod修复权限后再删 - 关键业务路径中，添加清理后校验：
if os.path.exists(tmp.name): log.error("Failed to clean up %s", tmp.name)
Windows 下 tempfile 和防病毒软件冲突导致 PermissionError
某些 AV 软件（如 Symantec、McAfee）会锁定刚创建的临时文件，导致后续 open(..., 'w') 或 os.rename() 报 PermissionError: [WinError 32] The process cannot access the file...。这不是代码 bug，但会让临时文件逻辑随机失败。
实操建议：
立即学习“Python免费学习笔记（深入）”；
- 对 Windows 环境加重试逻辑（最多 3 次，间隔 100ms），用
time.sleep()+except PermissionError - 避免在临时文件上做
os.rename()—— 改用shutil.move()，它内部会 fallback 到 copy+unlink，更健壮 - 生产部署前，在目标 Windows 服务器上用真实 AV 跑压力测试，确认临时文件吞吐是否稳定
tempfile.gettempdir() 获取，而不是硬写 /tmp 或 C:Temp —— 否则容器或非 root 环境下会静默退化到当前目录，直接暴露在应用根路径下。 
