如何在開源項目中隱藏Twitter Oauth的Consumer Secret？

Question

你如何隱藏在開源項目中使用Oauth的Twitter的consumer secret？在生產部署之前是否將密碼添加到代碼中？

這在一般的開放式源代碼，也適用於機密/密碼爲好。

Answer 1

標準解決方案是將其存儲在配置文件中。因此，每個想要安裝和運行該軟件的人都需要註冊他/她自己的密碼才能使用您的軟件。

一般而言，對於基於服務器的軟件，每次安裝一個單獨的服務。例如NBC Universal，NPR和Huffington Post都使用相同的軟件，但被認爲是不同的實體。因此，這通常是有意義的。

然而，基於桌面的軟件，這是情況並非如此。 NBC，NPR和Huffington Post使用的文字處理器並不被認爲是不同的軟件，而只是微軟的Word。因此，對於基於桌面的軟件（或移動應用程序），解決方案與構建過程中包含必要的私鑰/祕密代碼相似。同樣，將這一切都保存在配置文件中會使生活更輕鬆。只要確保您上傳到公共回購的示例/默認配置文件不包含任何祕密。

Answer 2

您也可以將它們存儲在環境變量中。

everyauth.twitter.consumerKey(process.env.TWITTER_CONSUMER_KEY) .consumerSecret(process.env.TWITTER_CONSUMER_SECRET)