Забавно, на самом деле вы не можете рассчитывать на любой ответ, приведенный здесь. Я бы сказал, что правильный подход заключается в том, чтобы заключить, что Trac не настолько безопасен (просто предположение), и попытаться снизить потенциальные риски.
Я предполагаю, что ваша цель - обеспечить совместную работу «пользователей» и «разработчиков», но пользователи не смогут получить доступ к источникам ни при каких обстоятельствах (что, кстати, очень хорошо).
В сети довольно много соответствующих рецептов, но я приведу самый простой:
- оставь свой Trac позади Apache (ты это уже сделал)
- используйте mod-rewrite , чтобы "пользователи" не получили доступ к [вашему URL] / браузеру, ...
- также настроить разрешения Trac
- [параноидальный режим], изменить URL-адреса по умолчанию, чтобы исключить угадывание
По сути, идея состоит в том, чтобы фильтровать пользователей как можно раньше, чтобы не полагаться на внутреннюю безопасность Trac.
Вы также можете использовать Прокси-проект OWASP Zed Attack , чтобы протестировать Trac самостоятельно:
Zed Attack Proxy (ZAP) - это простое в использовании интегрированное проникновение
инструмент тестирования для поиска уязвимостей в веб-приложениях.
Он предназначен для использования людьми с широким спектром безопасности.
и как таковой идеально подходит для разработчиков и функциональных тестеров, которые являются новыми
на тестирование на проникновение. ZAP предоставляет автоматизированные сканеры, а также
набор инструментов, которые позволяют вам вручную находить уязвимости.