为什么数据库密码以纯文本格式存储在WordPress的wp-config.php中，安全性问题？

Question

我想知道为什么数据库密码和登录数据以纯文本格式存储在wp-config.php文件中。这不是安全问题吗？解决这个问题的好习惯吗？

我不是安全方面的专家，但是我了解到，安全的第一步是将密码存储为非纯文本格式。其次，使用另一个文件存储密码。我知道最新的安全性使用哈希处理，包括对密码加盐。

还是安装了我不知道的其他安全措施？

Answer 1

如果您的用户可以阅读您的内容，wp-config.php那么从安全角度来看，您已经迷路了。

假设数据库凭据不是以纯文本存储的，而是以加密字符串存储的，该字符串将由Wordpress本身解密。如果潜在的攻击者可以读取wp-config.php它们，那么他们很可能可以读取解密密钥，也没有理由怀疑该密钥将被更安全地存储。

当人们谈论最新的安全机制如何使用哈希和加盐时，仅与您是有效的服务器有关。散列是获取密码并将其转换为无法还原回密码的一种方式。如果您是客户端而不是服务器，则无法避免需要获取纯文本密码的事实。