Opa 安全性和错误修复答案

【问题标题】：Opa security and bug fixesOpa 安全性和错误修复
【发布时间】：2011-10-15 01:43:13
【问题描述】：

我正在考虑看看Opa。虽然我对构建 Web 应用程序的常用方式感到满意，但该项目似乎非常有趣，并且自动处理客户端-服务器通信是一个真正的优势。

我唯一关心的是安全性。如果发现一种新的攻击或漏洞，我通常可以自己采取预防措施。如果我开发 Opa 应用程序会怎样？

我猜 MLState 会非常迅速地做出反应来添加错误和安全修复，但是这种保证是否足够？公司规模不大，可能有其他方面的压力。

Opa 项目是否足够灵活，可以让我自己修补安全漏洞？

【问题讨论】：

【解决方案1】：

一位 MLstate 员工在发言 :)。很高兴你喜欢 Opa 背后的概念。现在进入问题。

当然，我们会尽最大努力尽快解决任何安全漏洞。如果您可以自己修补安全漏洞？ Opa 是fully open source，所以没有什么能阻止您制作编译器的分支并按照自己的节奏进行自己的修复。在这种情况下，我们当然希望您向我们发送一个补丁以包含在官方分支中。这能回答你的问题吗？

【讨论】：

这是我的预期，但也不是最优的。如果我在框架中发现错误——比如在 Django 中——我可以进行修复，因为 Django 是用 Python 编写的，这与我用来编写应用程序的语言完全相同。在 Opa 中修复错误意味着使用我不熟悉的 OCaml，并且在编译器而不是应用程序级别工作。所以它要复杂得多。
我认为这那不好。 Opa 中实现了很多 Opa 功能（即它是 stdlib）。特别是 Web 框架为您提供的东西（Django）几乎完全在标准库中，部分通过 FFI（即 JavaScript）访问。所以只有编译器级别的修复需要修改 Ocaml，并且 Opa 的那部分往往比它的 stdlib 更稳定。
很高兴知道这一点，而且非常令人放心:-)。非常感谢