djangoでパスワードを公開する

Question

他人と共有するgitリポジトリの場合、データベースのパスワードをsettings.pyファイルに公開する脆弱性はありますか？

Answer 1

これは誰がリポジトリへの読み取りアクセス権を持っているかによって異なりますが、パスワードをバージョン管理に入れないことをお勧めします。あなたのsettings.pyで

password = 'asdasd' 

とimportまたはexecfileこの：それはこのように、その中にパスワードのみでpassword.pyのような別々のファイルにそれを置くために、おそらく良いでしょう。 .gitignoreにpassword.pyを追加できます。

Answer 2

あなたのデータベースは特定のホストからしかアクセスできないと仮定していますが、それでも潜在的な攻撃者に別の情報を与えたいのではないでしょうか？これを共有ホストにデプロイし、そこにアカウントがあると仮定すると、そのボックスのアカウントにログインするだけでデータベースに接続できます。

また、これを書いている人と、どのような種類の監査（PCI、州の監査など）が必要かによって、これは許可されないかもしれません。

パスワードを確認する方法を見つけようとします。