不能将可变变量用作安全函数的参数？

将可变变量用作安全函数的参数是不安全的行为。可变变量指的是在函数调用时可以传入不定数量的参数，如Python中的args和*kwargs。

使用可变变量作为安全函数的参数可能导致安全漏洞，主要原因如下：

1. 注入攻击：如果可变变量中包含用户输入的数据，攻击者可以通过在输入中注入恶意代码来攻击系统。例如，如果可变变量作为SQL查询语句的参数，攻击者可以通过注入恶意SQL代码来篡改数据库或获取敏感信息。
2. 跨站脚本攻击（XSS）：可变变量中的内容可能会被直接输出到HTML页面上，如果其中包含恶意脚本，将导致XSS攻击。攻击者可以通过注入恶意脚本来盗取用户信息或进行其他恶意操作。
3. 文件包含漏洞：如果可变变量用作文件包含函数（如PHP中的include或require）的参数，攻击者可以通过构造特殊的参数来包含恶意文件，从而执行任意代码。

为了避免这些安全风险，应该遵循以下安全实践：

1. 输入验证和过滤：对于任何用户输入数据，都应该进行验证和过滤，确保其符合预期的格式和内容。可以使用正则表达式、白名单过滤等方法来限制输入。
2. 参数化查询：对于需要拼接SQL查询的情况，应该使用参数化查询方式来防止SQL注入。参数化查询会将用户输入的数据作为参数传递给查询语句，而不是将其直接拼接到查询中。
3. 输出编码：在将数据输出到HTML页面时，应该进行适当的编码，以防止XSS攻击。可以使用HTML编码函数或框架提供的安全输出方法。
4. 严格访问控制：限制对敏感资源和功能的访问权限，确保只有经过授权的用户能够访问。可以使用身份验证、授权机制等来实现。
5. 安全更新和漏洞修复：及时更新软件和库，以修复已知的安全漏洞。跟踪并关注相关安全公告，及时采取措施。
6. 安全编码实践：在开发过程中，应该遵循安全编码实践，如避免使用已知的不安全函数、规避常见的安全问题等。

总之，为了保障系统的安全性，不建议将可变变量直接用作安全函数的参数。