ソースコードが見える場合のセキュリティーキーの書き方

Question

オープンソースでwebサイトのプログラムを公開してみたいのですが、その場合、セキュリティーキーや、パスワードなどが誰にでも見えてしまうのは困るのですが、どうすればいいのでしょうか。

例えば、
phpとmysqlで通信する際のユーザー名とパスワードを隠したい。
javascriptからAjaxを使う。そのときにjavascriptで暗号化するときのキー。

Comments

[otn]

自分の作ったソフトをオープンソースとして公開したいのか？他人の作ったオープンソースを使ってみたいのか？
何のセキュリティーキー？何のパスワード？

[kekemoto]

自分が作ったソフト（webページ）を公開したいです。
例えばphpとmysqlで通信する際のユーザー名とパスワードを隠したい。
javascriptからAjaxを使う。そのときにjavascriptで暗号化するときのキー。

Answer 1

yubaさんの回答の

MySQLへの接続情報は、インストールの際に環境変数として指定するというのを仕様にするのがいいかと思います。環境変数でなく設定ファイルという方法も。

に捕捉します。

direnvというツールを使うと設定したフォルダにアクセスした時にのみ有効になる環境変数を設定できます。

参考: direnvを使おう

Answer 2

• MySQLへの接続情報は、インストールの際に環境変数として指定するというのを仕様にするのがいいかと思います。環境変数でなく設定ファイルという方法も。
• Javascriptで独自にキーを持って暗号化するという方式はセキュリティ上おすすめしません。ソース公開濃霧にかかわらず、コード上でキーが丸見えですから。HTTPSという確立された方法がありますのでこれを使うのが唯一の正しいセキュリティになります。

Comments

[kekemoto]

思い違いをしていました。ありがとうございます

Answer 3

プログラムの様態が分かりませんでしたので、思い着くまま箇条書きにしてみました。

・プログラムに埋め込まず、外部ファイルから読み込むようにしておき、外部ファイルは実行の際に利用者に設定してもらう
・実行の際に引数として受け取るようにする
・Makefileにコンパイルする方にて、変数として設定してもらう
・公開版はサンプルのID/PASSにしておいて、変更を促すようREADMEに明記する

Comments

[kekemoto]

すみません。情報が足りてませんでした。
追加したシチュエーションだと、回答の方法がとれないと思います。

[Ken.sakanakana]

なるほど;-)
php mysql間は、グローバル経由で接続はあまりしないので、php埋め込みですが、設置の時に、ココ変えてねと、言う風にされていますね :-)
docker hubの公式mysqlも環境変数で渡してあげる感じで設定しますし。

javascriptからAPIをつつくところはそもそも、パスワードのやり取りなどせず、その前に認証をして、セッション管理しているはずなので、プログラムにID/PASSを持つことはありませんね。。。

解決してよかったです :-)