软件公司如何保障源代码不会被外泄？(软件源代码给客户吗)

软件公司如何保障源代码不会被外泄？(软件源代码给客户吗)

一、软件公司如何保障源代码不会被外泄？

结论：防不了。除非禁usb等物理口和外网访问。禁物理数据口还好说，禁外网访问几乎不可能。开发环境需要下载吧？要升级吧？即使把下载安装更新都由专人控制，那开发的软件也不是全部由开发人员一个人写的，他还是要聪从互联网上下载大量开源库代码或者不开源的库类文件，要说把这些都下载下来放在一个内网的文件服务器和私库上倒是也可以，但是成本和产出不成正比，除非你开发的事是安全级别很高的软件。

制定规范、有效的开发流程和制度，并且一丝不苟的落实。别无他法，说什么加强教育，签订协议等等，其实都属于辅助方式，不是根本解决问题的钥匙。既然提到这个话题，就展开说一下。之前曾有过报道，某某代码被外泄到某处，其实真正的用处是通过理解原始代码找出可以利用的漏洞，实施攻击（这需要大神级的能力）。否则，外泄的代码，也就是代码而已，没任何用处。现在的系统多数都由多种语言、多种运行环境、多种硬件配合才能正常使用，大型系统还要考虑更多代码之外的事情，所以单纯的说源代码外泄，并不像想象那么严重。

要是想要保证源代码不被外泄的话，也有一种办法就是可以在软件开发过程中给安装上代码签名证书。代码签名证书Code Signing SSL为软件开发商提供了一个理想的解决方案，使得软件开发商能对其软件代码进行数字签名。通过对代码的数字签名来标识软件来源以及软件开发者的真实身份，保证代码在签名之后不被恶意篡改。使用户在下载已经签名的代码时，能够有效的验证该代码的可信度。安信证书可支持个人代码签名证书，微软代码签名证书，EV代码签名证书申请。

防不了，哪怕在线编程模式，也没必要。代码权限过于精确到文件类，维护很困难。只要保护好核心有价值的代码少数人掌握可以了。只要能访问到代码的，拍照加人工识别不是难事。大部分项目代码不重要，核心是数据啊配置调优啊等等的，否则拿到代码也跑不起来

1.利用工具，比如云桌面、加密系统等，云桌面只把代码保存到云服务端，加密系统可以把代码加密保存，拷贝走就是乱码。2.保密协议，用法律责任对员工行为进行限制，这个是必须的，而且是有效的。

谢谢邀请。防止源代码外泄这是一个常见的需求，不同的公司有不同的做法，包括技术和流程规范等，相关的解决方案有很多。这里介绍一种技术：VDI（虚拟桌面），感兴趣者可以评估一下。VDI（Virtual Desktop Infrastructure）这里不多做解释，直译就是虚拟桌面基础设施，也是虚拟化技术的一种典型应用，其技术实质是程序运行在后台的服务器端，客户端（使用者的电脑）呈现的只是一个画面，思杰、VMware、深信服等都有这种技术，感兴趣可以自行百度。这种技术一大好处是：源代码集中保存在服务器端，代码根本不在研发人员的电脑中落地，这样可以防止代码被本地病毒等侵袭，还可以防止屏幕拷贝等非法操作；VDI的另一个好处是，采用这种技术后代码的拷贝、修改等行为都是可审计的，如果有恶意拷贝行为也可以及时发现。这种技术其实已经存在多年，现在算是比较成熟了，对用户而言面临的挑战主要是成本（一套新架构，服务器、存储、网络成本都可能增加），以及用户体验。尤其是用户体验，因为计算不在本地电脑而是后台服务器，所以开发人员可能感觉反应比较慢。不过，近些年由于超融合的存在，用户体验有了很大改善，目前已经有些大型（过千人）的研发中心采用了这种技术来保护源代码。如果你的源代码的确非常重要，不妨考虑下这种技术。本答案来自科技行者团队邹大斌

二、软件源代码给客户吗

一。大多数场合 商业发布的软件 都采用 编译型编程语言，典型是，比如windows 上的 app 可以用 visual c++ 做，软件 从源程序 编译成 可执行程序，安装到 用户电脑上的 是 exe 文件，所以不会泄露源代码。二。对于一些 行业传统采用 脚本 语言的应用场合，比如 网站 浏览器端 运行的 java script 语言，则在 编程测试完后，发布以前，故意用程序 修改源代码，使其功能不变，但是格式变得混乱，变量名变得难懂，使别人阅读和理解起来非常困难，防止被别人 修改以后 再利用。三。对内部开发人员的防范。 将一个大型软件的功能 进行 细分，模块化，中间用约定好的 api 进行调用，这样 每个开发人员 只能 看到本模块内部的源程序，其它模块的功能，通过调用库函数实现，这样，即使有开发人员 copy 走部分代码，但是 没有整个项目的源代码，难以修改 再利用。四。 有部分 场合，一些公司 内部开发电脑没有上网，也没有 usb 等输出接口，这样内部开发人员 没有途径 将 代码 copy 走。不过，这些公司，好多都是笑料，比如以前 android 系统流行以前，好多开发手机系统软件的公司这样搞，人家android 全部开源，这些公司 这些烂系统代码，白让人人看 都觉得浪费时间，谁有兴趣 copy 了，庸人自扰罢了。

公司源代码防止泄露可以通过 局域网监控软件 iMonitor EAM 软件来管理，有四种防止代码泄露的方法。1、禁用U盘等移动存储设备禁止后，U盘插入后将无法识别出来，有效地防止文件被拷走。2、禁止文件传输打开这项功能后，文件传输将会被禁止，禁止的文件类型和传输文件的方式可自行设置。可以禁止通过qq,微信等聊天工具传输文件，也可禁止通过浏览器上传到网页上。3、文件透明加密以上三种功能可同时叠加使用，这样会增加文件防护的级别，提供代码的安全性。4、禁止截屏，禁用剪贴板如果QQ的进程被添加进这项设置中，那么就无法截屏到聊天内容，QQ内的文字也无法复制粘贴到别的地方，其他软件同理。这样就阻止员工把代码粘贴到别的地方再外发。

无论是在系统开发阶段，还是应用阶段，都应该就安全性问题进行一次检验。程序的安全性的保障很大程度上取决于程序代码的质量，而保证代码质量最快捷有效的手段就是代码审计。什么场景下需要实施代码审计？新系统上线前。新上线系统对互联网环境的适应性较差，代码审计可以充分挖掘代码中存在的安全缺陷，避免系统刚上线就遇到重大攻击。运行中的系统。先于黑客发现系统的安全隐患，提前部署好安全防御措施，保证系统的每个环节在未知环境下都能经得起网络攻击者的挑战。我们最常见的信息安全风险评估手段即漏洞扫描、渗透测试以及代码审计，每种评估方式各有优势所在，代码审计发现的问题要比漏洞扫描和渗透测试的要全面一些，相对应花费的时间和成本也会更高，但是不能说明选择代码审计来进行安全评估一定是最好的，要依据企业的实际情况和实际需求，来选择合适自己的方式。此外，也不能说明代码审计做的越全面越好，审计过程中要平衡好开发与安全的关系，从企业自身情况来开展网络安全工作，不断地完善和修正。代码审计并不能从代码层面避免一切风险，还是那句老话，没有绝对的安全，有互联网就有漏洞和网络攻击的存在，所以不要妄想光靠代码审计能够解决长久的安全问题。

一，避免程序员接触所有源代码软件开发之前，将软件按照功能、层级划分为不同的模块，每个人负责其中一两个模块，再由团队中最值得信任的人来组合、封装，一般是技术总监。哪个模块出了BUG也由该模块的程序员负责修改、完善。这样一来，接触到所有源代码的人就非常有限，其他人只接触到一部分，泄露出去也没什么影响。美女程序员二，开发之前签订严格、严谨、规范的保密协议掌握源代码的人如果想要泄露源代码，他也就要想想可能非常严重的后果。有协议，虽然不能绝对保证不会泄露，但至少多了一个约束，减少了被泄露的可能。三，制定规范、有效的开发流程和制度，从制度上避免因人情因素导致的泄露比如说，各个模块的开发人员之间不能互相交换自己写的源代码，也不能把自己写的源代码给无关人员。制度为源代码不被泄露保驾护航四，软件开发完之后，及时申请著作权万一泄露，别人也不敢明目张胆的使用，因为是盗版、抄袭。我是创业分析师一刘，创业有问题欢迎找我。

软件外包已经非常成熟了，而且防源码外泄的的手段很多也很成熟：首先，但凡公司级别需要外包的软件，都不是一两个人能完成的，是一个大的团队，外包会拆分成不同的模块，一个人负责的只是其中很小一个功能，比如windows开发，可能复制和粘贴都是两个人甚至是两个团队开发的，因此，你个人拿到的那点代码，一点用没有。其次，软件开发很多使用代码管理器，类似github，你写一点提交一点，不在本地保存全局数据，当然也有用虚拟桌面等方式哈。还有，软件外包肯定会签订严格的保密合同。软件实际上是一个很大的工程，最主要的是在设计和架构上，这些做好了，拆开外包，写代码的甚至都不知道自己是给什么软件做的功能，怎么泄密啊。

利用技术手段防止代码泄露是一个手段，比如虚拟化！如果你在大公司工作过的话，比如BAT金山360等，人家核心代码你根本接触不到的，而等你接触到这些代码的时候你也不会离开公司了，这时你应该持有公司股票了！