【发布时间】：2022-01-25 18:28:15
【问题描述】：
假设我的服务器上有一个与 MySQL 服务器交互的 .php 脚本。
其中一部分是：
function sqlQuery($queryString) {
...
$mysqli = new mysqli("theHost:some-port",
"DB_allowed_username",
"password123", "dbName");
...
}
这个脚本完全是服务器端的，像DevTools 或view-source://web.address 这样的脚本不会显示源代码。
但是，没有人能够看到此源代码非常重要，因为它包含我的数据库特权用户之一的用户名和密码。有没有其他方法可以让别人发现这些细节，如果有，我该如何更安全地隐藏它们？
注意：- 目前我有一个 SSL 证书，但不能保证我会无限期地拥有它。
【问题讨论】：
-
PHP 是一种服务器端语言。所有代码都在服务器上执行，不会发送到客户端。有人可以看到源代码的唯一方法是他们可以访问服务器并且可以通过这种方式读取源文件。我认为你会遇到更大的问题。
-
“我有一个 SLS 证书，但不能保证我会无限期地拥有它。” - 为什么不呢？如果您关心安全性（您应该这样做），那么您绝对应该始终使用 SSL。
-
我看不出您有任何理由放弃 SSL（特别是现在您可以使用 Let's Encrypt 免费获得证书）。听起来你正在准备一个非问题案例，在这里。无论哪种方式，SSL 仅用于加密客户端和服务器之间的数据，而没有人可以看到您的 PHP 代码，除非他们可以访问服务器（因为它根本不会发送到客户端）。
-
如果服务器配置错误，此类信息可能会飞溅到网络上。最好将此类信息存储在远离网络根的手中。
-
在大多数情况下，最好不要从本地主机外部访问 SQL 服务器，因此即使凭据泄漏也不会造成重大损害。
标签： php mysql database security