保护MYSQL连接详细信息

Question

只是想对此提出一些建议.是否可以在浏览器中查看PHP源代码.我在想它不是.但是想确保我的连接细节,例如:

 include ("connection.php");
$con = mysql_connect("$host","$db_name","$db_user, $db_pass");

任何人都无法使用浏览器调用和查看.

如果我.htaccess connection.php文件这样做只是意味着您无法使用ftp访问该文件,但是调用include()文件的任何脚本仍然有用吗？

希望有道理.所有我想确保的是我的数据库连接密码是安全的.任何建议都会非常有帮助.

Answer 1

有几种方法可以通过浏览器泄漏PHP代码,其中包括:

1. 配置错误的服务器(以便不解析php文件)
2. 通过附加扩展名来制作备份文件:例如secretfile.php.bak
3. 此外,攻击者可能通过执行以下操作来访问文件: http://example.com/../../../etc/passwd
4. 不是真正进入php文件的方法,但另一种获取信息的常用方法是通过SQL Injection.(我看到你正在使用mysql_*- >请停止使用它):

请停止使用古老的mysql_*功能编写新代码.他们不再维护,社区已开始弃用过程.相反,您应该了解准备好的语句并使用PDO或MySQLi.如果你无法决定,这篇文章将有助于选择.如果你想学习,这是一个非常好的PDO相关教程.

将所有php文件保留在文档根目录之外并且仅在文档根目录中保留引导程序文件被认为是一种好习惯.

另一件事你应该设置数据库只在可能的情况下接受来自localhost的连接.