在django中暴露密碼

Question

對於與其他人共享的git存儲庫，在settings.py文件中是否存在暴露數據庫密碼的漏洞？ （我最初的想法是否定的，因爲你仍然需要ssh密碼。）

Answer 1

這取決於誰有讀取存儲庫的權限，但通常不要將密碼放入版本控制中。它可能更好地把它放在一個單獨的文件中像password.py只與密碼，就像這樣：

password = 'asdasd' 

和import或execfile這在settings.py。然後，您可以將password.py添加到您的.gitignore。

Answer 2

假設您的數據庫只能從一臺特定的主機訪問，即使如此，您爲什麼要給潛在的攻擊者提供另一條信息？假設你將它部署到共享主機上，並且我有一個帳戶，那麼只需登錄到我的帳戶就可以連接到你的數據庫。另外，根據你是誰寫這個和他們需要經歷什麼樣的審計（PCI，州審計等），這可能是不允許的。

我會嘗試找到一種方法來檢查密碼。