允许 Rails 代码审查的安全方法？答案

【问题标题】：Safe way to allow Rails code review?允许 Rails 代码审查的安全方法？
【发布时间】：2016-09-30 11:29:47
【问题描述】：

有人有兴趣购买我的 Rails 应用程序 (2.3.18)。它需要更新（显然），现在是更新与从头重建的成本问题。

如果买方希望第三方开发人员审查代码以确定这项工作并估算成本，有没有办法允许该开发人员访问而不会失去控制或授予不安全的访问权限？

【问题讨论】：

这不等于雇佣任何人为你的公司工作吗？当然，您应该遵循适用于所有其他工作人员的任何程序。无论如何，这更像是一个法律问题而不是软件问题——所以我投票结束。
为什么不在开发人员亲自进行审核时提供一台笔记本电脑？这样你就可以在代码审查期间监督他们。
为什么不对隐藏的内存设备进行全身搜索，并让它们在气隙网络上工作？（或者，为什么不应用一定程度的信任——就像所有普通员工都得到的那样？）
很遗憾，除了我自己，没有其他人陪伴。几年前我聘请了一名合同开发人员来构建我的网络应用程序，从那时起我自己构建了一些功能，但我在 Rails / 安全方面非常缺乏经验。我想让潜在买家和他的开发人员检查应用程序，看看在必要时更新它需要什么（比如在购买之前将二手车带到修理工处。）希望有一种方法可以让开发人员在没有评估的情况下进行评估泄露密码或我用户的私人信息。不知道是否需要进行完整的代码审查，或者是否需要一些 sn-ps 来完成这项工作。欣赏您的想法。

【解决方案1】：

您可以使用像 Crucible 这样的代码审查工具。这使得窃取代码变得更加困难，但并非不可能（我不知道如何防止这种情况）。它只会披露代码，但不会披露数据（如您提到的密码）。像这样的工具可以按月付费。

我建议进行完整的代码审查。除非你能确定他们想要使用的特定功能。

另外，如上所述，请确保您的文书工作（合同、非披露等）到位。

【讨论】：