如果我担心代码安全性，应该只在服务器上部署.pyc文件吗？

Question

我想将Django应用程序部署到云计算环境中，但我担心源代码安全性。我可以只在那里部署编译好的.pyc文件吗？根据官方python的说法，pyc文件是“中等难度的反向工程”。

采取这种方法的利弊是什么？这是标准做法吗？

我不使用AWS，我只是说我在一个云计算根本不能被信任的国家.

Answer 1

部署.pyc文件并不总是有效的。例如，如果使用Apache/mod_wsgi，至少WSGI脚本文件仍然需要直接的Python代码。

一些web框架也可能要求原始源代码文件可用。使用.pyc文件也不会掩盖web框架使用的模板中的任何敏感信息。

一般来说，使用.pyc文件是一种很弱的防御措施，可以利用工具反向工程从它们中提取信息。

因此，从技术上讲，您的应用程序可能运行，但它不会被视为非常安全的方式，以保护您的源代码。

您最好使用您信任的托管服务。这通常意味着支付信誉良好的托管服务，而不仅仅是你能找到的最便宜的主机。

Answer 2

显然你可以。看看这个问题和这篇博客文章。

不过有一件事我会考虑..。如果你不百分之百地信任云提供商，你为什么要去找它呢？只上传pyc文件可能会保护您的代码(有点)，但是保护您的用户呢？如果您不信任提供商，那么最好不要使用云计算。

Answer 3

是的，只部署编译好的文件就行了。要考虑的另一点是应用程序的其他方面。一个方面可能是，如果当前的bug让恶意用户知道您正在使用的技术堆栈，则在应用程序崩溃时显示错误消息的类型。对我来说，这些似乎是其他一些方面，我相信还有更多。