Python 3.15 webbrowser 在 macOS 怎么避免脚本注入：MacOS 后端、LaunchServices 与 URL 范围

如果 macOS 自动化脚本只需要打开网页，Python 3.15 的安全落点不是“把任意字符串交给浏览器”，而是先把输入收窄为可信的 HTTP(S) URL，再调用 webbrowser。3.15 新增的 webbrowser.MacOS 会使用 /usr/bin/open，并从 LaunchServices 偏好中寻找浏览器；这改善了旧 AppleScript 路径的安全和可用性，但不会替调用方完成 URL 白名单。

先确认 Python 3.15 的 MacOS 后端改变了什么

旧路径的核心问题是通过 osascript 构造并执行 AppleScript。Python 3.15 的 MacOS 控制器改为调用 /usr/bin/open；默认浏览器由 macOS 的 LaunchServices 偏好发现，新安装环境找不到偏好时以 Safari 作为回退。指定浏览器时，控制器仍然可以使用 Safari、Chrome 或 Firefox 等类型名。

这项改变解决的是“Python 如何找到并调用浏览器”的后端问题，不等于“输入是什么都安全”。尤其是非 HTTP(S) 地址，3.15 会使用 open -b 把 URL 送入浏览器，而不是让操作系统按文件处理器接管。调用方仍应在进入控制器前定义允许范围。

先解析 URL，再限制可交给浏览器的范围

urllib.parse.urlsplit() 能把字符串拆成 scheme、netloc、path、query 和 fragment，并提供 hostname；它不验证输入是否符合你的业务安全规则。因此安全判断应该是一个明确的 allowlist：只接受小写化后的 http 或 https，要求存在 hostname，并可选地限制域名。

from urllib.parse import urlsplit
import webbrowser

def open_safe_url(raw: str) -> bool:
    parsed = urlsplit(raw.strip())
    scheme = parsed.scheme.lower()
    host = (parsed.hostname or "").lower().rstrip(".")
    if scheme not in {"http", "https"} or not host:
        return False
    if host != "docs.python.org" and not host.endswith(".python.org"):
        return False
    return webbrowser.open_new_tab(raw)

这里的重点不是“解析后就可信”，而是把 scheme 和 hostname 变成显式的决策条件。hostname 还可能因畸形端口、括号或标准化规则触发异常，所以生产代码应在函数边界捕获 ValueError，并记录拒绝原因而不是继续打开。

用最小代码接入 webbrowser.MacOS

如果要明确使用新控制器，可以在 macOS 上写成 webbrowser.get("macos")；这对应文档中的 MacOS('default')。只想使用系统默认浏览器时，直接调用模块级 open_new_tab() 更短。两种方式的返回值都是布尔值，表示是否成功启动浏览器，不能当作网页已经加载成功。

controller = webbrowser.get("macos")
accepted = open_safe_url("https://docs.python.org/3.15/library/webbrowser.html")
if not accepted:
    print("URL 被拒绝，或浏览器启动失败")

不要把用户输入拼进 shell 命令，也不要为了“兼容旧系统”自行恢复 AppleScript 拼接。若脚本还要支持 3.14 及更早版本，应把控制器选择放进版本兼容层，同时复用同一个 HTTP(S) 校验函数；兼容层只改变浏览器启动实现，不改变输入策略。

把安全边界落到迁移和排障清单

1. 先打印或记录 parsed.scheme 与 parsed.hostname，确认输入没有被误当成相对路径。
2. 将 file:、ftp:、自定义 scheme、空 scheme 和无 hostname 输入统一拒绝。
3. 在受管控 macOS 上确认 /usr/bin/open 和 LaunchServices 未被策略阻断；这属于环境故障，不应通过放宽 URL 白名单解决。
4. 将“浏览器进程成功启动”和“目标网页可访问”分开记录。webbrowser 只负责前者。

最终判断很简单：Python 3.15 的 MacOS 后端降低了 AppleScript 注入面，但安全边界仍在你的输入校验层。先限制协议和主机，再交给浏览器；这样迁移到新后端时，行为变化和安全策略不会混在一起。

常见问题

为什么不能直接调用 webbrowser.open_new_tab(raw)？

因为它会接受多种 URL 形态，而你的业务可能只允许网页。先做 HTTP(S) 和 hostname 白名单，才能明确拒绝文件或自定义协议输入。

urlsplit() 能防止脚本注入吗？

不能。官方文档把它定位为实用解析器，并明确说明不执行验证；它只能提供 scheme、hostname 等字段供你的规则判断。

返回 True 是否代表网页打开成功？

不代表。返回值只说明浏览器是否成功启动，网页加载、重定向和站点响应需要由浏览器或网络层另行观察。

参考资料：Python 3.15 What's New、webbrowser 文档、urllib.parse 文档。