在django中暴露密码

Question

对于与其他人共享的git存储库，在settings.py文件中是否存在暴露数据库密码的漏洞？ （我最初的想法是否定的，因为你仍然需要ssh密码。）

Answer 1

这取决于谁有读取存储库的权限，但通常不要将密码放入版本控制中。它可能更好地把它放在一个单独的文件中像password.py只与密码，就像这样：

password = 'asdasd' 

和import或execfile这在settings.py。然后，您可以将password.py添加到您的.gitignore。

Answer 2

假设您的数据库只能从一台特定的主机访问，即使如此，您为什么要给潜在的攻击者提供另一条信息？假设你将它部署到共享主机上，并且我有一个帐户，那么只需登录到我的帐户就可以连接到你的数据库。另外，根据你是谁写这个和他们需要经历什么样的审计（PCI，州审计等），这可能是不允许的。

我会尝试找到一种方法来检查密码。