解析了 Python 中的作用域与命名空间概念，重点阐述 LEGB 查找规则。通过对比全局变量与局部变量的使用场景，指出硬编码敏感数据的风险，并推荐使用函数封装、类实例属性及环境变量来管理配置。文章探讨了闭包的使用与陷阱，以及 global 关键字的副作用，提供了安全连接数据库的最佳实践示例，强调变量作用域设计对代码安全性与可测试性的重要性。
来看一段代码示例：
# config.py
DB_HOST = "192.168.1.10"
DB_PORT = 54321
DB_USER = "app_user"
DB_PASSWORD = "secret123"
():
psycopg2.connect(
host=DB_HOST,
port=DB_PORT,
user=DB_USER,
password=DB_PASSWORD
)
潜在风险：
import config 都能读取DB_PASSWORD，整个进程可能受影响这背后，就是 作用域（Scope）和命名空间（Namespace） 的概念需要理清。
LEGB 是 Python 查找变量的顺序：
len, print 等name = "全局张三" # Global
def outer():
name = "外层李四" # Enclosing
def inner():
name = "局部王五" # Local
print(name)
inner()
outer()
Python 会从内往外找：先看 inner() 里有没有 name，有就用；没有再看 outer()，再没有才看全局。
核心原则：'就近原则，层层向外'
很多开发者习惯把配置全扔全局：
# ❌ 潜在风险示范
DB_CONFIG = {
"host": "prod-db",
"port": 54321,
"user": "admin",
"password": "生产密码"
}
def get_connection():
return psycopg2.connect(**DB_CONFIG)
DB_CONFIG 可被任意代码修改或打印def get_db_config(env="prod"):
"""根据环境返回配置（局部变量，用完即焚）"""
configs = {
"dev": {"host": "localhost", "port": 54321, "user": "dev", "password": "dev123"},
"prod": {"host": "db-cluster", "port": 54321, "user": "app", "password": _get_prod_password()}
}
return configs[env]
def _get_prod_password():
"""从安全存储读取（如环境变量），不在代码中硬编码"""
import os
return os.getenv("DB_PROD_PASS")
def create_db_connection(env="prod"):
config = get_db_config(env) # config 是局部变量！
return psycopg2.connect(**config)
核心要点：
config只在函数内部存在，外部无法访问，用完自动销毁。
有些人为了'方便'，在函数里直接改全局变量：
# ❌ 反模式
connection_pool = None
def init_pool():
global connection_pool # 声明要改全局
connection_pool = create_pool() # 危险！
后果：
# 方案 1：返回新值
def create_connection_pool():
return ConnectionPool(...)
pool = create_connection_pool() # 调用者自己管理
# 方案 2：用类封装状态（推荐）
class DatabaseClient:
def __init__(self, env="prod"):
self.config = get_db_config(env)
self._pool = None
def get_connection(self):
if self._pool is None:
self._pool = self._create_pool()
return self._pool
闭包常用于工厂函数，比如创建带预设参数的查询器：
def make_query_executor(table_name):
"""返回一个专门查某表的函数（闭包）"""
def execute_query(where_clause="", params=None):
sql = f"SELECT * FROM {table_name}"
if where_clause:
sql += f" WHERE {where_clause}"
with get_db_connection() as conn:
with conn.cursor() as cur:
cur.execute(sql, params)
return cur.fetchall()
return execute_query
# 使用
query_students = make_query_executor("students")
data = query_students("grade > %s", (85,))
table_name 来自用户输入，必须严格校验！nonlocal，但一般不建议）结合 LEGB 原则，我们写一个生产级连接工具：
# db_client.py
import os
import psycopg2
from typing import Optional
# 全局只放'不变'的东西（如驱动名）
DRIVER_NAME = "psycopg2"
def _load_credentials(env: str) -> dict:
"""从环境变量加载凭据（局部作用域，安全）"""
prefix = f"DB_{env.upper()}_"
return {
"host": os.getenv(f"{prefix}HOST"),
"port": int(os.getenv(f"{prefix}PORT", 54321)),
"database": os.getenv(f"{prefix}DB", "default"),
"user": os.getenv(f"{prefix}USER"),
"password": os.getenv(f"{prefix}PASS"),
}
class ConnectionManager:
def __init__(self, env: str = "prod"):
self.env = env
# credentials 是实例属性（局部于对象），非全局
self.credentials = _load_credentials(env)
def get_connection(self):
"""每次返回新连接（避免连接复用问题）"""
if not all(self.credentials.values()):
raise ValueError(f"DB {self.env} 配置不完整")
return psycopg2.connect(**self.credentials)
if __name__ == "__main__":
manager = ConnectionManager("dev")
with manager.get_connection() as conn:
with conn.cursor() as cur:
cur.execute("SELECT version()")
print(cur.fetchone())
_load_credentials 局部存在ConnectionManager 实例互不影响# 错误示范
funcs = []
for i in range(3):
funcs.append(lambda: print(i))
for f in funcs:
f() # 输出：2, 2, 2 ❌
✅ 解法：用默认参数捕获当前值
for i in range(3):
funcs.append(lambda x=i: print(x)) # x=i 在定义时求值
counter = 0
def increment():
global counter
counter += 1
# 测试 1
increment() # counter=1
# 测试 2（没重置 counter）→ 结果错误！
✅ 解法：状态交给调用者管理
def increment(counter):
return counter + 1
# 测试
c = 0
c = increment(c) # 清晰可控
with 语句或连接池库。在核心系统里，变量的作用域，就是你的安全边界。
记住三条铁律：
下次写代码前，问自己：
'这个变量，真的需要让全世界都知道吗？'
如果答案是否定的——
把它关进局部作用域的笼子里，才是对系统最大的负责。
微信公众号「极客日志」，在微信中扫描左侧二维码关注。展示文案：极客日志 zeeklog
解析常见 curl 参数并生成 fetch、axios、PHP curl 或 Python requests 示例代码。 在线工具，curl 转代码在线工具，online
将字符串编码和解码为其 Base64 格式表示形式即可。 在线工具，Base64 字符串编码/解码在线工具，online
将字符串、文件或图像转换为其 Base64 表示形式。 在线工具，Base64 文件转换器在线工具，online
将 Markdown（GFM）转为 HTML 片段，浏览器内 marked 解析；与 HTML转Markdown 互为补充。 在线工具，Markdown转HTML在线工具，online
将 HTML 片段转为 GitHub Flavored Markdown，支持标题、列表、链接、代码块与表格等；浏览器内处理，可链接预填。 在线工具，HTML转Markdown在线工具，online
通过删除不必要的空白来缩小和压缩JSON。 在线工具，JSON 压缩在线工具，online