python - 我的谷歌应用引擎部署的源代码安全吗？

Question

我正在考虑存储第三方凭据的好方法，这基本上意味着在某个地方需要有一个秘密，无论是在代码中还是在数据中。我正在谷歌应用引擎上部署。

如果“秘密”是这样的

pw_passphrase = sha2(username + 'global-password')
pw_plaintext = aes_decrypt(pw_passphrase, pw_ciphertext)

我可以依赖非 appengine 管理员从未见过的这段代码吗？

...如果凭证保护诸如个人财务数据之类的超级敏感信息，我们仍然信任它吗？

（sha2 位可与任何其他秘密伪随机函数交换。）

Answer 1

是的：您的源代码是安全的（与 Google 一样安全），未经授权的第三方无法窥视。

Answer 2

还要记住处理带有错误页面的代码中的异常，否则抛出的异常可能会将您的源代码暴露给未签名的用户。