您如何设法使凭证远离可公开浏览的源代码？

Question

假设您想要显示设置文件的源代码，但不希望 3-4 行显示在公共源代码中。您只是手动替换这些变量还是使用了一些技巧，例如将它们包含在另一个单独的文件中并将其包含在主conf中？

或者更常见的是不跟踪该文件并将其包含在存储库中？

Answer 1

我解决这个问题的方法，而且我几乎在我从事的每个项目中都必须处理这个问题，就是利用我从某人那里挑选的模式。在这种模式中——它不仅可以用来防止凭证不受版本控制，还可以隔离环境/平台特定的设置——受版本控制的主设置文件导入一个辅助设置文件，该文件适合称为“本地设置”。此“local_settings”文件不受版本控制，并且对于部署源的每个平台，都会创建一个仅针对该平台定制的单独的特定 local_settings 文件。

我将举例说明我通常如何为我的 Django/Python 项目执行此操作。有一个中央的、每个项目的 settings.py 文件，该文件处于版本控制之下，还有一个平台（也许平台并不是在这里使用的正确术语）特定的 local_settings.py< /代码> 文件。 settings.py 文件中导入的，其中不同的设置变量按以下方式定义：

import local_settings

DATABASE_USER = local_settings.db_user
DATABASE_PASSWORD = local_settings.db_pass

local_settings.py 文件是从在上面的代码片段中，local_settings.py 文件是这样定义的：

db_user = 'user'
db_pass = 'pass'

在处理相关问题时，我发现这种模式非常有效。

Answer 2

这取决于上下文，但常见的解决方案是使用不包含敏感信息的 application.cfg.sample。该文件位于存储库等中。当您实际部署应用程序时，将该文件复制到 application.cfg 并编辑密码等。

另一种方法是让示例值适用于您的应用程序。开发，但没有意义，即：

host: localhost
username: user
password: test

这实际上可能是开发工作站上的有效数据库帐户或其他任何内容，但用户不会认为它是，并且信息几乎不敏感。

Answer 3

只需将变量替换为示例变量即可。

SETTINGS = {
     username: 'test',
     password: 'mypass'
}

ETC。

Answer 4

您可以不签入该文件，如果它只是本地配置的有效设置，则确实没有必要将其包含在公共源代码中，或者做聪明的事情并加密信息（在 asp 设置文件的情况下） ）。