Bagaimana untuk melindungi kata laluan pangkalan data dalam PHP?

Question

Apabila aplikasi PHP mewujudkan sambungan pangkalan data, ia biasanya perlu menghantar nama log masuk dan kata laluan. Jika aplikasi saya menggunakan log masuk tunggal yang paling kurang istimewa, maka PHP perlu mengetahui log masuk dan kata laluan itu di suatu tempat. Apakah cara terbaik untuk melindungi kata laluan itu? Nampaknya hanya menulisnya dalam kod PHP bukanlah idea yang baik.

Answer 1

Jika anda dihoskan pada pelayan orang lain dan tidak mempunyai akses kepada kandungan di luar akar rangkaian anda, anda sentiasa boleh meletakkan kata laluan dan/atau sambungan pangkalan data anda ke dalam fail dan kemudian mengunci fail tersebut dengan .htaccess:

<files mypasswdfile>
order allow,deny
deny from all
</files>

Answer 2

Sesetengah orang salah membaca ini sebagai soalan tentang cara kata laluan disimpan dalam pangkalan data. Itu salah. Ini mengenai cara menyimpan kata laluan yang memberi anda akseske pangkalan data.

Penyelesaian biasa ialah mengalihkan kata laluan daripada kod sumber ke fail konfigurasi. Kemudian serahkan tugas mengurus dan melindungi fail konfigurasi kepada pentadbir sistem. Dengan cara ini, pembangun tidak perlu mengetahui apa-apa tentang kata laluan pengeluaran dan tiada rekod kata laluan dalam kawalan sumber.