像 js(node)、 Python 作为服务端部署到生产环境，怎么保证源码的安全性的？

[grayfox]

最近在学 node ，写完以后部署到生产环境，如果不经过像 java 那样编译，那么只要有登陆到生产服务器的权限，就直接拿到源码吗？不太懂这块，主流做法是怎么做的？

[importmeta]

1.堡垒机。
2.Node 源码能打包混淆，不会直接运行源码。

[Felldeadbird]

官方有提供编译线上只给编译代码。没有就买商业加密软件。

所以我现在软件都转向 go 编写。build 后随便对方拿去破解。能逆向破解，那是他本事了。

[mark2025]

@xuanbg 值钱的是核心算法以及数据库（海量）数据。

[Nem0]

pyinstaller 也可以，会臃肿些

[wenrouxiaozhu]

@zeusho871 我这个呢 https://github.com/ZhaoQi99/pyencrypt-pye 感觉用起来还行..就是不知道容不容易被破解

[julyclyde]

@yb2313 你这是容器迷信
虽然这次你蒙对了，但是你的思路不对

[raptor]

真的，能登上服务器的人对屎山代码真不感兴趣，但数据库大概率要被拖……

[sofm]

楼主 问这个问题 有些本末倒置。问题是 该如何登录到 生成服务器？如果能登录，别人的目标是看你的代码吗？

本就不存在这样的问题，也就不会好的解决办法。

[nomagick]

恕我直言，公司的代码根本不用专门混淆

解释型语言拿去编译字节码也是敝帚自珍，主要是给老板提供心理安慰

[nomagick]

唯一值得保护的也就是配置文件，证书 API key 之类的

其他的，那不是针对谁。。。

[wupher]

真的，Github 上的开源代码我们都看不过来……

都有你服务器权限了，源码不是太看得上。想开个淘宝之类这不是光有个源代码就解决的。更别提他们复杂到吓人的架构了。开源商城就更多了。

配置文件有其它服务账号密码这个可能更感兴趣些。

[skallz]

@wupher 确实，私有部署给客户的话，光一个打包工具的默认混淆，绝大部分人就已经搞不定了，更别说通过这份混淆代码，梳理清楚业务架构，那就更恐怖了，99.99%的公司都没有这个资金干这个事。。。

[IamUNICODE]

业务代码没那么重要，无所谓吧，重要代码打个包得了

[lneoi]

deno 可以编译项目代码成可执行文件, 不知道反编译强度够不够

[incubus]

@yin1999 你猜爬虫这个岗位是干嘛的

[luckyscript]

https://v2ex.com/t/113883

[zeusho871]

@wenrouxiaozhu 基于 rsa 和 aes 的? aes 密钥从后台发的还是

[murmur]

没用的，要提交代码，我都进了你服务器了你数据全是我的了，我看代码干嘛

[ClericPy]

虽然编译了也能逆出来，不过能解决大部分场景了。稍微提几个

1. 印象中有三四个专门做代码混淆的，甚至混淆后的代码还能带有效期（发请求拉时间戳）
2. nuitka --module 打包成动态的 .so/.pyd ，不熟悉用法可以直接 Github 找我发的 nuitka simple gui 。只编译核心代码就行，不要编译依赖
3. 丢 serverless 之类的地方上面，不过也还是丢在服务器上做隔离，服务器不隔离也没用

[assassing]

不加密，严格做好数据和代码分离。服务器真无所谓的