在PHP中保持你的MySQL證書私有的最佳方式是什麼？

Question

當談到在PHP中編程您的Web應用程序時，防止您的MySQL信息被其他人（第三方）泄露或發現的最有效方法是什麼？這些信息將包括域名和登錄以及connet功能中使用的密碼。

舉一個例子一個很好的程序可能會保持你的MySQL連接功能，在一個單獨的PHP文件等

任何想法？

Answer 1

1. 讓您的憑據在一個單獨的.php文件外文檔根目錄（所以它不是通過網絡直接訪問）
2. 這是更好地保持它.php文件，而不是，比方說，.inc，因此即使通過網絡意外訪問，它也會被執行並且不會被直接顯示。
3. 建立連接後不要保留用戶名和密碼（即，在您之後取消設置持有憑證的變量或數組密鑰不再需要它們）;你可以不小心暴露你不必再
4. 不要讓憑據的重複列入文件（例如，在您的憑據if (defined('DB_AUTH_LOADED')) return; define('DB_AUTH_LOADED', 1);文件），以避免您的憑據的任何可能的重新定義瓦爾

這應該保護您免於直接訪問您的憑據，並防止您通過自己的代碼意外泄漏憑證。如果攻擊者可以上傳PHP文件到你的服務器並設法實際執行它們，那麼戰鬥就會丟失，但上述措施會讓你相當安全的避免意外泄露你的信譽。

Answer 2

課程，包括？有很多方法可以做到，但最終如果有人能夠訪問未解析的PHP文件，他們將擁有您的MySQL登錄詳細信息。

Answer 3

我不能說這是最好的，但這是我的方式;

我有一個config.php文件，它包含我的數據庫連接憑據，並且不能直接訪問。我有一個需要config.php來建立連接的數據庫類，並且我有一個擴展數據庫類的站點類。

這是一種非常普遍的做事方式，並且被普遍接受。

Answer 4

你可以做的另一件事情是（如果你的憑據受到損害）是確保你爲PHP設置的任務設置的mysql用戶被禁止使用DROP語句，甚至可以使用DELETE語句數據如此。

爲該用戶提供對其他數據庫可能訪問的最低級別，可能只有持有該用戶數據的最低級別。