版本控制中的paypal密钥

Question

在VCS中存储用于加密/签名PayPal交易的密钥（app_cert.pem,app_key.pem,paypal.pem）有什么安全隐患？我在想，拥有证书和数据库主键的人可以将购买标记为已付款。这是最糟糕的情况，对吧？

Answer 1

最大的危险在于谁有权访问源代码管理。如果有权访问源代码管理的开发人员已被允许访问密钥，那么只要源控制被锁定，只有授权用户才能访问，则不存在额外风险。

如果您允许对存储库进行匿名读取访问，则其他人可以获取您的密钥，这可能对专门的攻击者有帮助。也许他们会知道如何去做一些我们不会想到的事情。

永远不要低估有技巧和缺乏顾忌的人的聪明才智以及简单的发薪日动机。

个人而言，我不会把它们放在源代码管理中。我会保护他们，就好像他们是我自己的SSN和银行信息一样。

即使您的回购现在紧张锁定，您不知道未来会发生什么变化。例如，对于未来的开发人员来说，开始与外部供应商开展合作非常容易，并且授予只读访问权限，而不会认为他们正在公开此类敏感信息。