将安全功能添加到大量可分发的网站是否安全？

Question

我正在制作一个网站，我打算让用户随时部署;他们将能够获取我的源代码并将其部署到自己的服务器并作为自己的服务器运行。

我正在考虑尝试将SSL和OpenID以及其他功能合并到网站中。会给用户访问这些文件（比如我的OpenID/Twitter/Facebook客户端密钥和秘密，或者SSL证书的东西，或者其他任何东西..）是否有潜在的安全隐患？他们能够对这些信息做任何危险的事吗？

Answer 1

SSL并非该应用的关注

所有客户端密钥和密码是你自己的责任。我不会公开分发。

人做什么通常是从环境

facebook_client_key = ENV["FACEBOOK_CLIENT_KEY"] 

阅读此信息，以便部署人员只配置环境，而不是应用程序。

Answer 2

我会避免将您的客户密钥和秘密等内容添加到您分发给用户的任何文件中。他们被称为秘密是有原因的！我不知道Facebook或Twitter的APIs的来龙去脉，但肯定知道Akismet这样的产品，这是Wordpress的反垃圾邮件插件，关键是用来识别您特定的WordPress实例。

如果您为了商业目的而使用Wordpress网站，那么您应该支付Akismet。问题在于，尽管你可能没有将自己用于商业目的，但取决于你制作和发布的内容，并不是说其他​​人不会将它用于商业目的，并最终破坏它不仅仅是为了你，但对于其他人使用你的软件。

您应该将密钥和秘密部分作为应用程序配置的一部分，并且可能会提供有关用户如何获取自己应用程序的说明。