Comment stocker en toute sécurité les informations d'identification MySQL dans les applications PHP : un guide des meilleures pratiques

Sécurisation des informations d'identification MySQL dans les applications PHP

Le stockage des mots de passe MySQL en texte brut dans les fichiers de configuration présente un risque de sécurité. Cet article explore une alternative sécurisée à cette pratique courante.

Problème

Les programmes PHP exigent souvent que les utilisateurs stockent les mots de passe MySQL dans des fichiers de configuration en texte brut situés à la racine de l'application. Cette approche a soulevé des inquiétudes concernant les vulnérabilités de sécurité.

Améliorations minimales de la sécurité

Les efforts visant à atténuer ce problème ont inclus :

• Restriction de la visibilité des fichiers via les règles .htaccess
• Annuler le mot de passe de la mémoire après la connexion à la base de données

Cependant, ces mesures ne résolvent pas complètement la faille de sécurité sous-jacente.

Amélioré Approche

Une solution plus sécurisée consiste à stocker des informations sensibles, telles que les informations d'identification de la base de données, dans un fichier de configuration situé en dehors de la racine du dossier Web. Par exemple :

<code class="php">$config = parse_ini_file('../config.ini');</code>

Cette approche offre plusieurs avantages :

• Les variables sont inaccessibles si le serveur génère par erreur les scripts PHP en texte brut.
• Seuls les scripts PHP ont accès à ces variables.
• La configuration peut être récupérée sans compter sur .htaccess, qui pourrait être compromis ou perdu.

Considérations de sécurité supplémentaires

Depuis février 2017, il est recommandé de stocker les paramètres de configuration sous forme de variables d'environnement plutôt que dans un fichier .ini. Cette approche améliore encore la sécurité en séparant la configuration du code de l'application.

Ce qui précède est le contenu détaillé de. pour plus d'informations, suivez d'autres articles connexes sur le site Web de PHP en chinois!