Soal Terusan Folder Git Dari Web

Kalau pakai git di server production, pastikan folder .git-nya TIDAK dapat diakses dari web. Bahayanya adalah, orang jadi dapat download seluruh source code web Anda. Tanpa perlu password. Dan bila file config database ikut dimasukkan ke git, credentials database yang ada di situ dapat terambil juga. Meskipun repository git Anda private.

Solusinya, folder .git tidakboleh ditaruh di folder yang dapat diakses dari web (beberapa framework PHP sudah menyerupai ini, folder web ada di "public" sementara folder .git ada di luarnya).

Kalaupun folder .git ada di folder yang dapat diakses dari web, pastikan dibentuk forbidden contohnya dengan .htaccess. Sekedar naruh file index kosong di situ, atau disable directory listing saja tidak cukup.

Gambar ini pola yang tidak aman.

Ditulis oleh : Muhammad Abrar Istiadi

Supaya lebih terperinci dan haqiqi, silahkan baca refrensi soal persoalan ini di blog Kang Yohguas  yang lebih kompeten untuk menerangkannya : http://blog.compactbyte.com/2017/03/16/bug-file-version-control-yang-bisa-diakses-via-web/

Share :