security - 版本控制中的 Paypal key

Question

存储 key (app_cert.pem、app_key.pem、paypal.pem)的安全隐患是什么？在 VCS 中加密/签署您的 Paypal 交易？我认为拥有证书和我的数据库主键的人将能够将购买标记为已付款。这是可能发生的最坏情况，对吧？

Answer 1

最大的危险在于谁有权访问源代码管理。如果有权访问源代码管理的开发人员已经被允许访问 key ，那么就没有额外的风险只要源代码控制被锁定以便只有授权用户可以访问.

如果您允许对存储库进行匿名读取访问，则其他人可以获得您的 key ，这可能对专门的攻击者有所帮助。也许他们会知道如何用它做一些我们不会想到的事情。

永远不要低估有本事和无所顾忌的人的聪明才智，以及轻松发薪日的动力。

就我个人而言，我不会将它们放在源代码管理中。我会保护它们，就好像它们是我自己的 SSN 和银行信息一样。

即使您的存储库现在被严格锁定，您也不知道将来会发生什么变化。例如，对于某些 future 的开发人员来说，开始与外部供应商合作并授予只读访问权限，而不是认为他们正在暴露如此敏感的信息，这太容易了。