php - php + api：在客户端网站上下载和评估代码 -> 这是个好主意吗？

Question

我们提供链接聚合服务。

术语：
1）客户端 api：客户端 api 代码，用 php 编写，我们为客户提供
2）客户端：客户端站点，使用客户端 api 获取（从我们的服务器）并显示 html 链接

Api 非常简单。
客户所关心的只是获取和显示链接。而已。
目前，它看起来像这样：

<?php
require_once('/path/to/lib.php'); // all logic is here ( what to send, log, ...)
$obj = new Obj();
echo $obj->getData(); // html links
?>

问题是，升级客户端 api 后，我们必须将其提供给每个客户端以上传到他们的网站。
所以，这很不方便。

您如何看待以下想法：
将 lib.php 放置到服务器并升级客户端 api，以便下载并评估该代码。
因此，我们可以在一个地方控制客户网站上发生的一切。

你怎么看？
我应该注意什么？
谢谢！

score 0 · Accepted Answer

您如何看待以下想法：
将 lib.php 放置到服务器并升级客户端 api，以便下载并评估该代码。因此，我们可以在一个地方控制客户网站上发生的一切。

任何允许自动更新的代码段都是一个重要的安全问题。

根据您的客户群的富裕程度，这可能是可接受的风险。但更有可能的是，他们不会理解或意识到其中的含义。这带来了另一个经常被忽视的观点。

我应该注意什么？

如果出现问题，或者您的代码导致（甚至怀疑）漏洞，您承担什么责任？

任何选择与您合作的人都必须对您的所有系统都有信心。

对不起，不在我的手表上。

1 回答 1