用回环地址验证 Python HTTP 服务，并确保测试后清理

云服务器上临时启动 HTTP 服务，常见问题不在启动命令本身，而在测试目录混入真实站点、监听地址意外对外开放，以及脚本把 HTTP 错误误判为成功。下面给出一段完整的本机检查脚本，使用独立临时目录、只监听 IPv4 回环地址，并在退出时清理服务和测试文件。

完整验证脚本

需要 Python 3、curl 和常见 Unix 工具。将代码保存为脚本文件后，用 sh 整体执行；不要分段运行，因为临时路径、进程号和退出陷阱属于同一次脚本运行。

#!/bin/sh
set -eu
tmpdir=$(mktemp -d) || exit 1
server_pid=
cleanup() {
  if [ -n "$server_pid" ]; then
    kill "$server_pid" 2>/dev/null || true
    wait "$server_pid" 2>/dev/null || true
  fi
  if [ -e "$tmpdir/index.html" ]; then
    unlink "$tmpdir/index.html"
  fi
  rmdir "$tmpdir"
}
trap cleanup EXIT
trap 'exit 130' INT
trap 'exit 143' TERM
marker="local-check-$(python3 -c 'import secrets; print(secrets.token_hex(8))')"
printf '%s\n' "$marker" > "$tmpdir/index.html"
port=8765
url="http://127.0.0.1:$port"
python3 -m http.server "$port" --bind 127.0.0.1 --directory "$tmpdir" &
server_pid=$!
ready=0
for attempt in 1 2 3 4 5; do
  body=$(curl -fsS --connect-timeout 1 --max-time 2 "$url/" 2>/dev/null) || body=
  if [ "$body" = "$marker" ] && kill -0 "$server_pid" 2>/dev/null; then
    ready=1
    break
  fi
  sleep 0.2
done
[ "$ready" -eq 1 ] || { echo '本次服务未就绪，可能启动失败或端口被占用' >&2; exit 1; }
code=$(curl --connect-timeout 1 --max-time 3 -sS -o /dev/null -w '%{http_code}' "$url/")
printf 'GET /: HTTP %s, curl exit 0\n' "$code"
[ "$code" = 200 ]
code=$(curl --connect-timeout 1 --max-time 3 -sS -o /dev/null -w '%{http_code}' "$url/missing")
printf 'GET /missing: HTTP %s, curl exit 0\n' "$code"
[ "$code" = 404 ]
if curl --connect-timeout 1 --max-time 3 --fail -sS -o /dev/null "$url/missing"; then
  echo '预期 --fail 对 404 返回非零状态' >&2
  exit 1
else
  curl_status=$?
fi
printf 'GET /missing --fail: curl exit %s\n' "$curl_status"
[ "$curl_status" -eq 22 ]

为什么检查响应内容，而不只检查状态码

固定端口 8765 可能已被其他服务占用。Python 绑定失败后，如果脚本仅用 curl 判断能否得到 200，就可能测到另一个服务。这里要求响应体与本次随机生成的标记完全一致，并用 kill -0 检查启动的进程仍存在，降低误认概率。遇到端口冲突时应先查清占用进程，再决定是否换端口；不要直接结束不认识的进程。kill -0 只是进程存在性检查，本身不会发送终止信号。

回环地址与临时目录的作用

127.0.0.1 将服务限制在本机 IPv4 回环接口。为了这次检查，无需开放云安全组入站规则。改成 0.0.0.0 会扩大监听范围，应先明确访问需求和防护条件。mktemp -d 会实际创建名称不可预测的目录，避免固定路径或先猜名称、再创建所带来的竞争窗口。目录只隔离测试文件，不是容器或权限边界，仍然不应放入敏感数据。

HTTP 状态和 curl 退出码是两种证据

完整收到 HTTP 404 时，curl 默认可以退出 0，因为传输成功；加 --fail 后，通常会将 HTTP 400 及以上响应视为错误，返回 22。连接被拒绝通常是退出码 7。脚本同时判断响应状态和进程退出状态，才能区分连接失败与应用返回错误。–connect-timeout 限制建立连接的等待时间，–max-time 限制整个请求时间，避免检查无限等待。

用退出陷阱统一收尾

正常结束或收到常见中断信号时，trap 会尝试停止后台服务并清理目录。脚本只删除已知的测试文件，再用 rmdir 移除空目录，不对不明确的路径做递归删除。若需要保留日志，应另设明确的日志位置。SIGKILL、系统崩溃等情况无法靠退出陷阱保证清理，因此临时脚本仍须有运行时限和检查习惯。

最后明确用途边界：Python 官方说明 http.server 只实现基础安全检查，不适合生产服务；其简单文件处理器还会跟随符号链接，因此不要放置不可信文件或指向敏感位置的链接。本机测试通过只能证明当前进程、端口和测试路径工作，不能替代对反向代理、TLS、云防火墙或生产配置的验证。

参考主文档：Python 标准库 http.server 的 Security considerations；Python socket 文档的 SO_REUSEADDR；GNU Coreutils 手册的 mktemp invocation；curl 官方手册的 --fail、–connect-timeout、–max-time。