針對不同類型的查詢有不同的用戶是一種好的做法嗎？

Question

我正在使用MySQL和PHP進行項目工作。我創建了不同的用戶來執行不同的功能（一個用於運行選擇查詢，一個用於運行更新查詢等），以提供額外的安全層。這樣，我認爲是否有人設法執行注入攻擊（這是因爲我正在使用準備好的語句，這是不太可能的），但他們能夠做的任何事情都將侷限於最初意圖運行的查詢類型。這是一個很好的做法還是不值得麻煩？

Answer 1

除了擴展邏輯之外，您還將在該區域擁有不同的連接和基本開銷。

恕我直言，明智的做法是不要在root用戶的webapp中做所有的查詢，如果數據是這樣的hot，那麼確保指定的用戶沒有DROP，DELETE等特權。如果您的應用程序中有必要，可以實施軟刪除。

最後但並非最不重要的一點，請務必清理所有GPC，並確保在查詢中正確引用/轉義文件。使用準備好的語句可能是一回事，但最終它可以像使用mysql_real_escape_string()或您的DBAL/ORM提供的任何引用方法一樣簡單。

Answer 2

我個人認爲這不值得麻煩，因爲編碼，測試和部署更麻煩。確保你的軟件不受SQL注入的影響。