security - 如何使应用程序自动更新安全

Question

我正在开发一个应用程序，我认为如果它具有自动更新功能会很好。

这是一个 nodejs 应用程序，我正在使用电子生成器。

我的问题是那有多安全。因为如果有人获得了您的 github api 令牌，他可能会在您的所有客户端计算机上发布恶意代码。当客户是大公司时，情况更糟。它可能会在内部伤害他们。

我知道所有最流行的应用程序都有自动更新，他们如何安全地管理它？

标签： securitygithubauto-update

Answer 1

因为如果有人获得了您的 github api 令牌，他可能会在您的所有客户端计算机上发布恶意代码。

除了拥有一个范围有限的令牌之外，electron-userland/electron-builder 问题 1393提到您应该拥有一个组织并创建了一个专用用户。

只有在这种情况下，您才能以某种方式共享访问令牌

那是一个机器用户，但它确实需要一个组织。

这意味着令牌将只能作为机器用户读取和访问来自特定组织的版本。