Ruby - хранит пароль как переменный сейф?

Question

Я создаю веб-приложение для блога в Rails, и поскольку мне нужен только один пароль, безопасно ли хранить этот пароль в виде простой рубиновой переменной, например. password = "foobar"? Или я должен поместить его в базу данных с правильным хешированием паролей?

Имейте в виду, что это просто одного пароля Я говорю о

Answer 1

Сохранение паролей никогда не «безопасно» никогда, даже если они хэшируются и в БД. Я бы очень рекомендовал против этого, как если бы кто-нибудь получил доступ к серверу или даже код, с которым они могли бы легко получить ваш пароль. Кроме того, не записывайте свой собственный код хэширования пароля, мелкие ошибки могут серьезно подорвать вашу безопасность.

Мое предложение? Используйте Google или другого поставщика OAuth, таким образом, все, что вам нужно сделать, - это доверие к правилу Google. Это избавит вас от необходимости делать пароли прямо от вас.

Answer 2

Я думаю, что создать модель пользователя или даже полагаться на библиотеку, такую ​​как devise, похоже, будет больше убивать в вашем случае. Простой http auth должен быть достаточно хорош здесь. В зависимости от вашего вопроса относительно того, считается ли это безопасным, это зависит. Если вы единственный, у кого есть доступ к исходному коду (например, публичное репо github, ваш компьютер зашифрован, если он потерян), вы используете SSL & заголовок HSTS (чтобы предотвратить удаление SSL) для связи с вашим сайтом и вы используете секретные ключи для доступа к вашему серверу (т. е. никакого входа ssh), тогда я думаю, что вы, вероятно, все в порядке.

Вот пример HTTP AUTH в рельсах 4,0

$ http_basic_authenticate_with name: "dhh", password: "secret"

Например, контроллер продукта будет выглядеть так:

class PostsController < ApplicationController 
    http_basic_authenticate_with name: "dhh", password: "secret", except: :index 

    def index 
    render text: "Everyone can see me!" 
    end 

    def edit 
    render text: "I'm only accessible if you know the password" 
    end 
end 

Найти еще примеры here