大型公司里面如何防止程序员接触到核心代码？

[changwei]

像 BAT 这类公司，假如我是刚刚入职的程序员，现在公司要我做一个专题模块，做好了要集成测试，这个专题模块要用户登录才能用，那么必须 include 这个 Passport 模块，而这个模块的源代码里面肯定有一些加密算法，私钥等等信息，不能让我们这些小程序员看到里面的代码，那么具体怎么做测试呢？他们如何保证核心业务代码的安全？

[vnady]

那么庞大的代码，你能把他跑起来，出问题了你能解决。到这水平谁还会去 copy 代码？
能把上万 k 代码跑起来的人也是很牛的。

[annielong]

应该用的 api 之类的借口，不需要登录的话只需进行验证是否登录，需要登录的话调用登录借口

[changwei]

@mengzhuo 请问一下，你们鹅厂员工是否有电脑或者 U 盘掉了的情况，如果这个时候有代码在这上面，被人捡到了拿去干坏事了咋办？

@bobuick 话说我国历史上有因为盗窃源代码被判刑嘛？近几年新闻我好像没咋听到过


@vnady
@tsungkang
@Wenwei
@fluyy
@marffin
@binux
@ethego
我想说的只是从安全角度上考虑，比如说百度的搜索结果排序算法啊，一些关键业务比如说支付宝付款环节各种 csrf token 的生成算法啊，用户登录后种植的用于身份验证的 cookie 算法有可能会被泄露，而不是说你弄到源代码然后去搭建一个私服。。。你们都理解偏了我的意思，，，

[hwsdien]

开放接口，微服务的形式

[mengzhuo]

@changwei 电脑都必须开机密码和硬盘加密(Mac 也是)， U 盘理论上不能带（毕竟有云盘），内审发现不加密就罚钱（貌似还有部门通报批评）
所以我现在不带电脑回家（反正发了一台笔记本，一台台式）
而且就算有代码，密钥也不会在上面啊……

[paulagent]

你还是年轻啊，你说这种泄漏就是犯罪，抓到是要坐牢的。 那人为什么要犯罪，一种是穷的活不下去了，这些大企业的员工显然不是，就算哪个倒霉蛋欠了赌债，他想变现，他拿到这些东西卖给谁，自己干？ 怎么隐瞒突然多出来的资金，卖给黑产，能卖多少钱？

为了这点蝇头小利就准备下半辈子呆在监狱的人不多吧。

一句话，想犯罪的人，多半是有时间赚钱，没时间花钱。 你以为公司内控什么的都是摆设，泄漏出去的信息和自己家有漏洞被黑了是两码事，很快就能查出来是谁泄漏的。到时就等警察叔叔去查水表了。

[lawlietxxl]

疼逊：抄？你这不是关公面前耍大刀吗？

[maxsec]

私钥随机生成
私钥主机不开 80 、 443 后的任何端口

[ourcubk]

@changwei 判刑的不少的...法务不是吃素的...http://bbs.c114.net/thread-899465-1-1.html

[qwerasdf]

业务代码都有对应的 dummy 假数据供你玩耍

[walkie]

我遇到过部分人是给你核心都不会看的，尽量少知道，少干活，就写自己这一块，老滑头们

[yx1989]

加密算法可以是公开的，但是密钥要是保密的。 --香农 信息论

[yjxjn]

@tabris17 DBA 外包。

[tsungkang]

@changwei 凯东是企鹅帝国的，我不是，我是他们隔壁那栋楼的。

[ajan]

看标题的描述应该是那种两个人的小公司才有的需求

[gejigeji]

在公司里，通过职务之便获取利益还是很容易的，不过很多是犯法的

[cYcoco]

大部分楼层跑题了
一般都是通过服务化来做的吧

[hl]

大公司连内部系统都是服务化的，根本不需要源码级的接触，直接授权之后连服务就行了

[h4x3rotab]

goog 的机密代码也是无关人员不能访问的

[YouXia]

阿里，我们这边同事业部的绝大部分代码都是可以看到的，自己申请下就行，除了与钱挂钩的，比如广告涉及到反作弊。