Question

我正在运行需要通过身份验证访问mongo的金字塔服务器。两台服务器（DB和Pyramid）都在同一台机器上运行。根据{{3}} / pyramid文档，我可以使用像

这样的URI

uri = "mongodb://user:password@example.com/the_database"

并验证。但是，这似乎非常不安全，因为任何以某种方式访问金字塔代码的人都会看到与服务器用户关联的普通密码（即使它是一个哈希）。

缓解此问题的最佳方法是什么？

我正在考虑提示启动服务器的用户获取Mongo的密码。这是一个好主意吗？有没有人在金字塔里做过类似的事情？

或者我应该将密码存储在服务器中只有金字塔服务器具有读取权限的安全位置吗？

首选方式是什么？如果我想从另一台计算机访问mongo服务器怎么办？在这种情况下哪种方法更好？

你们是如何配置它的？非常感谢。

Answer 1

如果您在多用户服务器上运行任何软件，解决此问题的常用方法是确保服务器软件在单独的用户帐户上运行，将URI存储在INI文件中并确保INI文件是只能由该用户帐户读取。这可确保只有服务器软件用户帐户（以及任何管理员帐户）才能看到URI字符串。