在java代码中检查密码（安全问题）

Question

我正在为我的房子写一个小型的网络服务器来玩一些我想更好地了解的Java API。该Web服务器最终将保存个​​人文件和图片。

我不想设置LDAP服务器进行身份验证，并且想知道如果我直接检查java代码会有多糟糕？

Answer 1

只要您采取适当的预防措施不分发或发布源代码，拥有硬编码密码肯定比网络服务验证它更安全。但是有两个问题：

• 保密您的源代码可能不会太难，但您可以很容易地忘记您将来硬编码密码并变得粗略对源。您可能希望将其复制到朋友，或在github上发布。
• 密码被硬编码意味着破坏代码的人可能很容易学会密码。一个经过验证的网络身份验证解决方案不会带来漏洞 - 您的代码几乎肯定会。

您应该考虑的一个潜在替代方法是使用密码保留纯文本文件，并在必要时阅读。它可以缓解（但不会消除）这两个问题，如果您的操作系统支持正确的文件权限和用户权限分离，也可以提高安全性。

与往常一样，请避免为不同的服务重复使用密码。由于您将面对互联网的未经测试的代码，请记住实施适当的操作系统级别的对策。