Opa安全性和漏洞修复

Question

我正在考虑看一下Opa。虽然我熟悉传统的web应用程序构建方式，但该项目似乎非常有趣，并且自动处理客户端-服务器通信是一个真正的优势。

我的唯一担忧是安全性。如果发现新的攻击类型或漏洞，我通常可以自己采取预防措施。那么如果我开发一个Opa应用程序呢？

我想MLState将会很迅速地添加漏洞和安全修复，但这种保证是否足够？这家公司规模不是很大，他们可能还要承受其他方面的压力。

Opa项目是否足够灵活，可以允许我自己修补安全漏洞？

- Andrea

Answer 1

MLstate员工之一发言：）。很高兴你喜欢Opa背后的概念。现在进入问题。

当然，我们会尽最大努力尽快解决任何安全漏洞。如果您能自行修补安全漏洞？ Opa是完全开源的，因此没有任何阻止您在自己的速度下分叉编译器并进行自己的修复。在这种情况下，当然，我们希望您发送补丁以包含在官方分支中。这回答了你的问题吗？

- akoprowski

---

这正是我所期望的，但也不是最优解。如果我在一个框架中发现了一个错误 - 比如在Django中 - 我可以编写修复程序，因为Django是用Python编写的，而我用来编写应用程序的语言也是Python。在Opa中修复错误意味着要使用OCaml，这是我不熟悉的语言，并且需要在编译器级别而不是应用程序级别上工作。因此，这更加复杂。 - Andrea

我不认为它那么糟糕。许多Opa功能都是用Opa实现的（即它的stdlib）。特别是Web框架提供的东西（如Django）几乎全部在标准库中，部分通过FFI（即JavaScript）访问。因此，只有编译器级别的修复需要涉及Ocaml的调整，而Opa的这部分往往比其stdlib更稳定。 - akoprowski

这很好知道，而且非常令人放心 :-). 非常感谢。 - Andrea