如何安全地存儲我的網站配置文件？

Question

我有一個我的網站的config.php文件，我存儲在可公開訪問的網頁目錄之外，它包含我用於爲該網站發送郵件和我的數據庫連接憑證的g​​mail帳戶的密碼信息。我不喜歡將密碼保存爲純文本變量的想法，並正在尋找一些方法來更安全地保存此數據。除了阻止對除我以外的用戶的目錄進行讀取訪問之外，我能做些什麼來保護這些信息？

Answer 1

大多數時候您最終都會以純文本格式保存。比方說，如果你想加密，那麼解密密鑰將不得不以純文本等等保存。所以最好確保你的服務器是安全的。

Answer 2

取決於您要保護的內容。

1. 保持htdocs目錄（webroot的目錄）以外的文件通常是一個好主意，這樣的文件不能被明確地從外面叫。 （I.E將瀏覽器指向它）。

2. 如果要在代碼中保護$ var（即第三方惡意代碼），您可以隨時在變量消耗後取消設置變量，但我不知道這是否有很大區別。

3. 如果你想保護文件免遭可能「侵入」你的服務器的人，你可以做的事情不多。您可以隨時設置文件權限，以便只有www-data（您的apache用戶）可以讀取它，但如果某人獲得了對您計算機的root訪問權限，那麼您已經完全搞砸了。

不管怎麼說，如果你的服務器是安全的（無根訪問遠程或只有通過公鑰/私鑰噓，你不從公用電腦訪問您的服務器，等...），你不使用第三方代碼而不先檢查它，然後將通行文件存儲在webroot目錄之外，我認爲您儘可能安全。