python - 将我的网站上传到公共(public)存储库有哪些风险/好处？

Question

我注意到Flask tutorial涉及到点的使用。看起来它只是用于在本地创建一个轮子，这将使服务器上的设置变得更容易，但作为一个网络开发新手，我很好奇:是否有人真的会一路将他们的网站上传到像 PyPI 这样的公共(public)存储库？这样做有什么影响(安全相关或其他方面)？

Answer 1

不，您不应该不要将私有(private) Web 项目上传到 PyPI(Python 包索引)! PyPI 适用于旨在共享的公共(public)、已发布项目。

为您的 Web 项目创建包在部署到生产服务器时具有优势，但这并不要求您的包在 PyPI 上可用。 pip 命令行工具可以从其他存储库(包括私有(private) Git 或 Mercurial 或 SVN 存储库或私有(private)包索引)以及文件系统中查找并安装包。

郑重声明:我没有为我(帮助)开发的最近部署的 Flask 项目创建包。这些直接从其 Github 存储库在云托管硬件和/或 Docker 容器中投入生产。 依赖项通过 pip 安装(在所有情况下均由 Pipenv tool 驱动)，但项目代码本身只是直接从结帐加载。

也就是说，如果这些项目开始使用持续集成，那么在生产中使用打包为轮子的测试结果代码也可能是有意义的。将这些轮子发布到私有(private)索引或服务器；有几个项目甚至一些 SaaS 服务已经可用，可以让您管理私有(private)包索引。

如果您确实发布到 PyPI，那么任何人都可以下载您的软件包并分析您的网站如何工作。通过这种方式，黑帽黑客可以轻而易举地发现并利用项目中的安全问题。