在non-db CMS中保護settings.xml

Question

我的系統沒有使用mySQL或者smth。只是文件。我有.htaccess的特殊文件夾（全部拒絕）。我在哪裏存儲我的設置，管理員的密碼（md5）等等。但是如果黑客獲得對此文件夾的訪問權限，則可以輕鬆讀取XML文件。

因此我的問題： 1）是否有deny from all .htaccess文件提供足夠的保護？ 2）有沒有內置的PHP函數來加密文件？

Answer 1

1. .htaccess不足以保護文件，將本地數據放在http訪問之外，一般位於HTML目錄之上的目錄中。

2. 在PHP中有加密可用，但它只是將問題轉移到保護密鑰，儘管它增加了工作因子，基本上是安全性。

如果您選擇使用加密，請不要使用mcrypt，這是棄用軟件，不支持標準填充。請使用庫，如RNCryptor-php或defuse，它提供了一個完整的加密解決方案。

注意：有些人遇到安全問題時，認爲 「我知道，我會使用加密。」現在他們有兩個問題。