像 js(node)、 Python 作为服务端部署到生产环境，怎么保证源码的安全性的？

[grayfox]

最近在学 node ，写完以后部署到生产环境，如果不经过像 java 那样编译，那么只要有登陆到生产服务器的权限，就直接拿到源码吗？不太懂这块，主流做法是怎么做的？

[yb2313]

用容器加密怎么样

[cookii]

服务器都能让人随便登录吗？

[hefish]

这个。。。用一个罩子，把服务器罩起来，不让别人看到。

[yin1999]

js 就用 webpack 或者 esbuild 等工具来打包，打包完成以后代码是会被转译+压缩的（人类不可读）。

[zsj1029334]

22 支持编译独立二进制了，node

[LuckyLauncher]

生产服务器的权限都随便给你还在乎源码的安全性吗

[xiaochun41]

有一种比较好的实践是不直接把部署源代码的机器暴露在公网上的，一般最前面还有一层网关，网关到业务服务器走的是内网转发，这样会好一些。

[0o0O0o0O0o]

1. node 生产环境一样要打包混淆压缩，部署源码是错误的做法
2. node 编译产物和 java 编译产物在防止泄漏源码这件事上强度差不多
3. 有直接登录生产服务器权限的人想干什么都行，你可能需要的是堡垒机

[darksword21]

python 可以用 pyinstaller

[Zwying]

node：
1.打包成二进制，但是只能 require 。
2.混淆部分关键代码： https://obfuscator.io/
3.部分关键业务用 Go/Rust/C 等重写，编译成 Wasm ，再调用

python 研究的不多，pyinstaller 打包可能是个不错的方法

[jianchang512]

都能进服务器了，源码再怎么加密 混淆或者二进制打包还有意义吗？


这场景似乎只在预防一种人：可以给他服务器权限但不想让他看到或复制源码

[puzzle9]

啊 那 php 的源码部署岂不是哭晕在厕所
不过换个想法
流量比源码值钱多了

[zeusho871]

@darksword21 pyinstaller 保护不了源码 运行速度还慢
@grayfox 建议看看 nuitka 这个打包源码 我用 ida 看了下 字符串基本都加密了如果觉得打包慢可以封装部分模块配合 pystand( https://github.com/skywind3000/PyStand) 打包详情看知乎文章
https://www.zhihu.com/question/48776632/answer/2336654649

[mooyo]

你门都被别人 x 开了，你关心的居然是源代码？难道不是直接把你库脱了嘛

[expy]

服务器被登陆比代码泄漏严重几个数量级，屎山代码开源都没人看的。

[R4rvZ6agNVWr56V0]

你的业务代码这么值钱吗？
如果很值钱，可以考虑代码混淆、定制加密解释器，例如 pyarmor 。
反正，有成本的。

[crackidz]

Java 能直接反编译啊...

[dream4ever]

“只要有登陆到生产服务器的权限”，你家门都被人打开了，家里的东西再怎么遮盖，用处也不大了……

[drwebco]

用 python 就别想闭源了

[ox180]

可以购买加密软件