如何让json文件不可以被修改

如何让JSON文件不被修改：实用防护指南

在软件开发与数据管理中,JSON文件因轻量、易读的特性被广泛应用，但其明文存储的格式也带来了数据被篡改的风险——无论是恶意攻击者修改配置参数，还是意外操作覆盖关键数据，都可能导致系统异常或安全问题，要让JSON文件“不可修改”，并非简单设置“只读”属性，而是需要结合技术手段、权限管理和设计策略构建多层次防护体系，本文将从文件权限控制、内容加密、校验机制、运行时保护四个维度，详解具体实施方案。

文件权限控制：从源头限制修改权限

最基础的防护是通过操作系统或文件系统权限,限制用户对JSON文件的写入操作，避免未经授权的修改。

操作系统级权限设置

以Linux/macOS为例，可通过chmod命令修改文件权限，移除“写入”权限（w），仅保留读取（r）和执行（x，若文件是脚本或可执行文件）：

# 移除用户、组及其他用户的写入权限，仅保留读取
chmod a-w your_file.json

若需进一步限制特定用户,可结合chown修改文件所有者，并通过chattr设置不可变属性（仅root可修改）：

# 设置文件为不可变（+i），即使root用户也无法直接修改
sudo chattr +i your_file.json

Windows系统下,右键文件→“属性”→“安全”→“编辑权限”，取消“完全控制”或“修改”权限，或通过icacls命令：

# 移除用户的写入权限
icacls your_file.json /deny 用户名:(W)

应用层权限隔离

若JSON文件由应用程序动态调用,可在应用启动时校验文件权限：在Python中使用os.access()检查文件是否可写，若可写则触发告警或拒绝加载：

import os
json_path = "config.json"
if os.access(json_path, os.W_OK):
    raise PermissionError(f"JSON文件 {json_path} 可被修改，存在安全风险！")

局限性

权限控制依赖操作系统环境,若攻击者获取root/administrator权限，仍可绕过限制；且无法防止应用自身或授权用户的误操作。

加密：让篡改后的文件无法被识别

若仅限制权限,仍可能面临“权限提升攻击”或内部人员恶意修改，此时需对JSON文件内容加密，即使文件被修改，无密钥也无法解析正确数据。

对称加密：使用AES等算法加密JSON

对称加密（如AES-256）通过同一密钥加密和解密，适合对大文件或高频访问的JSON数据加密，使用Python的cryptography库加密JSON文件：

加密步骤：

from cryptography.fernet import Fernet
import json
# 生成密钥（实际项目中需安全存储，如环境变量或密钥管理服务）
key = Fernet.generate_key()
cipher = Fernet(key)
# 读取原始JSON数据
with open("config.json", "rb") as f:
    original_data = f.read()
# 加密并保存为二进制文件
encrypted_data = cipher.encrypt(original_data)
with open("config.enc", "wb") as f:
    f.write(encrypted_data)

解密使用：

with open("config.enc", "rb") as f:
    encrypted_data = f.read()
decrypted_data = cipher.decrypt(encrypted_data)
config = json.loads(decrypted_data.decode())

加密后的文件（.enc）可直接替换原始JSON文件，应用启动时先解密再加载。

非对称加密：适用于敏感场景（如密钥文件）

非对称加密（如RSA）通过公钥加密、私钥解密，适合存储敏感数据（如API密钥、证书），使用pycryptodome库加密JSON中的敏感字段：

from Crypto.PublicKey import RSA
from Crypto.Cipher import PKCS1_OAEP
import json
# 生成RSA密钥对（公钥加密，私钥解密）
key = RSA.generate(2048)
public_key = key.publickey()
cipher = PKCS1_OAEP.new(public_key)
# 加密敏感字段（如数据库密码）
config = {"db_host": "localhost", "db_password": "secret123"}
encrypted_password = cipher.encrypt(config["db_password"].encode())
# 保存加密后的数据（公钥可公开，私钥需严格保密）
encrypted_config = {
    "db_host": config["db_host"],
    "db_password_encrypted": encrypted_password.hex()
}
with open("secure_config.json", "w") as f:
    json.dump(encrypted_config, f)

应用启动时,需用私钥解密敏感字段，确保即使JSON文件被窃取，无私钥也无法获取明文数据。

注意事项

密钥管理是核心：对称加密的密钥、非对称加密的私钥需存储在安全位置（如AWS KMS、HashiCorp Vault或环境变量），避免硬编码在代码中。
加密后文件格式变化：加密后的JSON不再是标准明文，需确保应用能正确处理加密格式（如统一保存为.enc后缀）。

数字签名与哈希校验：让篡改“无所遁形”

即使文件被加密,仍可能面临“中间人攻击”（攻击者替换加密文件），此时需通过数字签名或哈希校验验证文件完整性，确保文件未被篡改。

哈希校验：快速验证文件一致性

哈希算法（如SHA-256）能将任意长度的数据映射为固定长度的哈希值，文件任何微小修改都会导致哈希值变化。

步骤：

生成哈希值：在部署JSON文件时，计算其SHA-256哈希值并存储（如写入.hash文件或配置中心）：
```
# 计算JSON文件的SHA-256哈希值
sha256sum config.json > config.hash
```

运行时校验：应用启动时，实时计算JSON文件的哈希值，与存储的哈希值对比：

import hashlib
def verify_json_hash(file_path, expected_hash):
    sha256 = hashlib.sha256()
    with open(file_path, "rb") as f:
        while chunk := f.read(8192):
            sha256.update(chunk)
    actual_hash = sha256.hexdigest()
    if actual_hash != expected_hash:
        raise ValueError(f"JSON文件 {file_path} 被篡改！预期哈希：{expected_hash}，实际：{actual_hash}")
# 使用示例（expected_hash从配置中心或.hash文件读取）
verify_json_hash("config.json", "a1b2c3...")  # 替换为实际哈希值

数字签名：基于非对称加密的身份验证

数字签名结合了哈希和非对称加密：发送方用私钥对哈希值签名，接收方用公钥验证签名，确保文件来源可信且未被篡改。

步骤：

生成签名：部署JSON文件时，用私钥对其哈希值签名：

from Crypto.Signature import pkcs1_15
from Crypto.Hash import SHA256
# 假设已有RSA私钥（private_key.pem）
with open("private_key.pem", "rb") as f:
    private_key = RSA.import_key(f.read())
# 计算JSON文件的哈希值
sha256 = SHA256.new()
with open("config.json", "rb") as f:
    sha256.update(f.read())
# 用私钥签名
signer = pkcs1_15.new(private_key)
signature = signer.sign(sha256)
# 保存签名（与应用一起发布）
with open("config.sig", "wb") as f:
    f.write(signature)

验证签名：应用启动时，用公钥验证签名：

from Crypto.PublicKey import RSA
# 读取公钥（与应用一起发布，无需保密）
with open("public_key.pem", "rb") as f:
    public_key = RSA.import_key(f.read())
# 读取JSON文件和签名
with open("config.json", "rb") as f:
    data = f.read()
with open("config.sig", "rb") as f:
    signature = f.read()
# 计算哈希并验证
sha256 = SHA256.new(data)
try:
    pkcs1_15.new(public_key).verify(sha256, signature)
    print("签名验证成功，文件未被篡改！")
except (ValueError, TypeError):
    raise ValueError("签名验证失败，文件可能被篡改！")