java - 检查java代码中的密码(安全问题)

Question

我正在为我的房子编写一个小型网络服务器，以使用一些我想更好地了解的 java API。该网络服务器最终将保存个​​人文件和图片。

我不想设置 LDAP 服务器进行身份验证，并且想知道如果我直接让 java 代码检查它会有多糟糕？

Answer 1

只要您采取适当的预防措施，不分发或发布您的源代码，拥有硬编码密码肯定比让网络服务验证它更安全。然而，有两个问题:

• 对源代码保密可能并不太难，但您将来很容易忘记对密码进行了硬编码，并对源代码变得不小心。您可能想将其复制给 friend ，或将其发布到 github 上。
• 对密码进行硬编码意味着破坏您代码的人可以轻松获知密码。经过验证的网络身份验证解决方案不会充满漏洞 - 您的代码几乎肯定会存在漏洞。

您应该考虑的一个潜在替代方案是保留带有密码的纯文本文件，并在必要时读取它。它可以缓解(但不能消除)这两个问题，并且如果您的操作系统支持适当的文件权限和用户权限分离，还可以提高安全性。

一如既往，避免为不同的服务重复使用密码。由于您将拥有面向互联网的未经测试的代码，因此请记住实现适当的操作系统级对策。