如何使我的 Heroku 应用程序保持私密？

Question

有没有一种方法可以使我的应用程序完全保密，并且只允许开发人员访问？

当随机用户输入 URL 时，它应该类似于空白页面，但当开发人员输入 URL 时，他们应该能够访问该应用程序。

Answer 1

我的廉价解决方案是实现 before_filter 来在执行每个操作之前请求 HTTP 身份验证。

该解决方案与其他身份验证层（Devise 或其他层）配合良好。

USERS = { "user" => "secret" }

before_filter :authenticate

def authenticate
  authenticate_or_request_with_http_digest("Application") do |name|
    USERS[name]
  end
end

每当其他对等方登陆 yourdomain.heroku.com 时，都会要求他们进行 HTTP 身份验证，然后再进行其他身份验证（如果有）。

Answer 2

现在，您还可以使用 Heroku 插件，让您指定允许访问的用户的电子邮件应用程序并使用 Persona（又名 BrowserID）来验证用户身份（不需要站点特定密码）。

Answer 3

一个非常简单的解决方案是仅添加一个可以存储在用户计算机上的 cookie 中的密钥。这不是一个完美的解决方案，因为有人可以获得密钥，但它为您提供了基本的保护，防止有人无意中访问您的网站。您可以使用类似 http://www.yourdomain.com?access_key=random_string 的网址，然后将以下内容添加到您的应用程序控制器中。

class ApplicationController < ActionController::Base
  before_filter :check_redirect_key

  def check_redirect_key
    if request[:access_key] != 'random_string' && cookies[:access_key] != 'random_string'
      redirect_to "/404.html" 
    elsif request[:access_key] == 'random_string'
      cookies.permanent[:access_key] = 'random_string'
    end
  end

end

此代码将检查用户计算机上的 url 或 cookie 中的访问密钥，如果任一位置存在该访问密钥，则允许他们进入。这样，一旦他们使用密钥访问该网站，他们就可以直接访问该网址。

Answer 4

您可以使用 HTTP 基本身份验证作为一种简单的方法：

有没有办法为heroku上的应用程序设置简单的http身份验证？

不完全安全，但也许足够了。

您还可以尝试检查 heroku_user 并拒绝访问（如果未设置）：

http://blog.heroku.com/archives/2008/ 1/14/heroku_user/

我找不到太多关于 heroku_user 的文档，所以我不知道它是否仍然受支持。

Answer 5

查看 authlogic gem，特别是单一访问令牌功能。

您可以向未将适当的单一访问令牌作为参数传递的任何人返回 404。

Answer 6

我构建了 rack_staging gem 来为自己处理这个用例，它可能对你也有用。

Answer 7

我的（也很便宜）的解决方案（使用基于类的视图的 Django 应用程序）是在我所有基于类的视图中使用 SuperUserRequiredMixin ，如下所示：

class BlogPostDetailView(SuperuserRequiredMixin, DetailView):
    template_name = "blogpost-detail.html"
    model = BlogPost

添加/删除此 mixin 是我解决此问题的方法。