如何保護包含數據庫密碼的PHP腳本？

Question

這些腳本需要什麼權限才能讓網站用戶獲得功能，但無法在腳本中讀取密碼？

Answer 1

將配置文件存儲在文檔根目錄之外是個好主意，以防萬一您的web服務器或php發生故障並吐出原始文本（注意：這是非常不可能的）。

但是，導航到您的網站的用戶通常無法讀取您的PHP腳本的內容。

Answer 2

假設他們在網絡目錄中，導航到文件只會導致他們的輸出顯示給用戶，所以他們將是安全的，無需您設置特殊權限。如果該目錄可以通過其他方式訪問（例如ftp），則可能需要重新考慮爲什麼允許用戶訪問該目錄中的文件。

Answer 3

創建一個文件/路徑/到/祕密的東西，只有root可以讀取（根，沒有人或Apache）

SETENV DB_USER 「myuser的」 SETENV DB_PASS 「爲mypass」

包含該文件到阿帕奇

的配置目錄或包含到httpd.conf中與

包含「/路徑/到/祕密的東西」

Answer 4

第一個建議是密碼應該被加密。訪問密碼文件的攻擊者無法找到您的加密方法（即分析您的PHP源代碼）將無法使用它。

但是，如果您無法存儲在一個安全的地方密碼，另一種選擇是配置最大限制數據庫服務器和放棄的密碼： - 只能從網絡服務器 登錄 - 不能改變模式 - 可以僅最終使用1個數據庫 ： - 無法刪除記錄 - 無法更新記錄 - 僅限於必要的表。 - 每秒請求數量的限制。

這比通用用戶的登錄通行證要安全得多，該通行證用戶可以完全控制服務器上的任何數據庫並從局域網上的遠程位置或其他計算機進行連接。