除管理员外他人能否查看Discord Bot内部代码？私钥存入是否安全？

1. 你的Bot代码是否会被他人或Discord官方查看？ #

只要你没有将代码开源到公开代码仓库、没有向第三方授予你的Bot部署设备/托管平台的访问权限，私有编写、私有部署的Bot代码不会被无关人员随意获取。
Discord官方仅会接收你的Bot通过官方API主动上报的请求数据，没有权限主动拉取、扫描你部署环境内的本地代码，也不会主动获取你未公开发布的代码内容。

例外提示：如果你使用公共免费托管平台部署Bot，需要提前核对平台的隐私规则，部分平台的公开实例支持其他用户查看项目代码，存在泄露风险。

2. 在代码中直接存入私钥是否安全？应当如何处理？ #

直接把私钥硬编码到Bot代码中是完全不安全的操作，禁止这么做，可能的泄露场景包括：

• 代码被误提交到公开代码仓库，所有可访问仓库的用户都能直接获取私钥明文
• 代码调试、日志输出、多人协作环节意外泄露敏感值
• 即使是私有部署，代码备份、部署环境被入侵等场景也会扩大私钥泄露的影响范围

推荐的私钥处理方案 #

• 本地开发阶段使用dotenv管理敏感信息：将私钥、Discord Bot Token等所有敏感值写入.env文件，同时在.gitignore中配置.env为忽略文件，避免被误提交到代码仓库。代码中仅需通过process.env.自定义变量名即可读取对应敏感值
• 生产部署时优先使用部署平台提供的加密环境变量功能，主流云服务商、Serverless平台都支持加密存储敏感信息，不需要将私钥写入部署包的代码文件内
• 有更高安全要求的场景可以使用本地密钥管理工具加密存储私钥，读取私钥时需要额外的解密口令才能获取明文

内容的提问来源于stack exchange，提问作者Nika Kurashvili