大型公司里面如何防止程序员接触到核心代码？

[changwei]

像 BAT 这类公司，假如我是刚刚入职的程序员，现在公司要我做一个专题模块，做好了要集成测试，这个专题模块要用户登录才能用，那么必须 include 这个 Passport 模块，而这个模块的源代码里面肯定有一些加密算法，私钥等等信息，不能让我们这些小程序员看到里面的代码，那么具体怎么做测试呢？他们如何保证核心业务代码的安全？

[onceyoung]

我不在什么大公司，但是我们公司的代码前后端我都是可以看到的，可以下载的，你的意思是我就可以去开另一家公司了？

[roker]

狼厂是把核心代码烧在芯片里～～～～

[tSQghkfhTtQt9mtd]

大型公司里面如何防止程序员接触到核心代码？ http://www.zhihu.com/question/47941381?f3fb8ead20=14b264c5a48f3dfdfe0ef2ba3c3e346d （分享自知乎网）

[casaca]

看到那些淡什么商业模式，什么代码不重要，什么给你代码也复制不了一个腾讯，，，这些都是啥子?不知道不作声沒人会说你 SB ，没进过大公司不了解就不要在这说些没用的商业模式。还代码不重要。

[prczsf]

给你 QQ 的全套源代码，你能再搞一套做到 QQ 这个级别吗？互联网公司更重要的是运营。

大公司之所以成功，不仅仅是因为那两行代码。

核心源代码重要不重要，肯定重要，所以各种保密规定之类的。

[SmiteChow]

代码没啥用，给不给你看源代码你都不敢泄露的，除非你想去待几年。

[feuvan]

算法公开没用，又不是火星座标系算法。
token 都靠密钥保证，不靠算法。再说私有算法未必比公开算法安全。
举个最简单的例子，线上服务器加盐算摘要的环境配置和开发服务器肯定不一样，你知道怎么算摘要也没用。

[c3824363]

@marffin 竞争对手就是要那几个关键技术点啊

[c3824363]

@casaca 对啊，有的时候就是需要搞定几个关键技术点

[lucifer4he]

用户中心自己就是一个事业部好么。给你提供接口，接口外的统统做不了。有需求告诉用户中心的人让他们搞新接口。
如果你不是用户中心的选手，但是有空把他们代码梳理一遍-。-话说你哪个事业部的，没有自己家的代码码么=。=

[owt5008137]

token 一类的东西都是带随机生成的，然后一定时间或者一定次数或者其他的一些途径来失效的。
然后由几个 key 做 hash 到其他 key 的算法。用一个不容易被碰撞攻击得算法即可，就算告诉你又怎么样。除非你在路由上劫持流量。
比如 ssh 用认证 key 登入的时候，不就明摆着告诉你算法了么，然而你看看容不容易破解。
更何况这个 key 一般都是静态的，而那些 token 还是动态的，会自动失效的

[geektony]

双方信任才有用，再多的技术手段又有何用。况且人才是最大的漏洞。

[fluyy]

@changwei 懂你意思了，对于数据安全，一般大厂都有强的权限校验，不是谁都能看核心数据的。第二个像账号安全， token 生成算法。其实很多算法都是比较通用的生成算法，关键是你要拿到密钥啊。有些算法里变量还不止一个，所以危险还是比较小的。我知道的团队在调整安全协议时，会找专门的安全同学审核。会考虑很多场景，当密钥泄漏，以及协议被破解时，都会有应对策略的。最后你签合同时是有保密协议的哦。法务团队也会盯着你的。

还有你说的 u 盘弄丢了，这个不太清楚会怎样。但是如果公司的电脑弄丢了，需要向 IT 部门报告，他们一方面会协助警方定位电脑，另一方面会远程格式化数据吧。

由于没有经历过，上面的场景也是猜测的

[fluyy]

@murmur 这个不太清楚了。但是看见过同事申请的专利主要讲算法的。这种还是要将算法落实到具体的方法中。

[changwei]

@geektony 想问问 bat 之类的公司通常是怎么约束人的行为？

[geektony]

@changewei 你这问题太尴尬了，我不好回答呀~ 不过能明确告诉你，有很清晰的权限管理制度！