安全地传递密码（堆栈跟踪问题）

Question

我注意到我的开发服务器的 php_errors.log 文件在我之前的错误修复狂欢之后重新出现，但这次我注意到一些相当令人不安的事情......

[06-Jan-2016 01:29:29 UTC] PHP 致命错误：未捕获的 PDOException：SQLSTATE[HY000] [2002] /home/niet/public_html/classes/DB.class.php 中没有此类文件或目录:14
堆栈跟踪：
#0 /home/niet/public_html/classes/DB.class.php(14): PDO->__construct('mysql:host=loca...', 'niet', '我的实际密码！强>'，数组）
#1 /home/niet/public_html/classes/DB.class.php(47): DB::connect()
#2 ...

不用说，这是一个问题。所以基本上，我的问题很简单：

如何将字符串传递给函数，如果出现问题，它不会显示在堆栈跟踪中？

为了聪明，我尝试了这个：

new PDO(
    "mysql:host=localhost.....",
    "niet",
    new class { public function __toString() { return "correct horse battery staple"; }}
);

虽然它成功连接到数据库，但抛出的异常（例如错误密码）仍然显示字符串值，而不是匿名类。如果我使用“普通”类尝试从跟踪中“隐藏”变量，则会出现类似问题。

Answer 1

您可以设置自己的异常处理程序并只打印异常消息而不是堆栈跟踪，例如

function exception_handler($e) {
    echo "<b>Exception in file: </b>" . $e->getFile() . "<br>";
    echo "<b>Exception on line: </b>" . $e->getLine() . "<br>";
    echo "<b>Exception message: </b>" . $e->getMessage();
}

set_exception_handler('exception_handler');

所以你仍然会得到一个有用的错误消息，但不包含任何敏感数据：

文件中的异常： C:\xampp\htdocs\path\file.php
在线异常： 220
异常消息： SQLSTATE[HY000] [1045] 用户'root'@'localhost'的访问被拒绝（使用>密码：YES）

Answer 2

在生产环境中，您应该禁用任何错误消息。在您的 PHP.ini 文件中设置 display_errors = off 以不透露有关您服务器的任何详细信息。

此外，您可以设置 $pdo->setAttribute(PDO::ERRMODE_SILENT) 以使 PDO 静音。您可以查看manual 以获取更多错误代码。

// 编辑：仍然可以在静默模式下记录错误：

$pdo = new PDO($server, $user, $password);

// Let us assume that 'foo' column does not exist
$query  = 'SELECT foo FROM bar';
$result = $pdo->query($query);

// Log error message
if ($pdo->errorInfo()) {
  print_r($pdo -> errorInfo());
}