Нужно ли волноваться по поводу указания пароля в php-файле?

Question

[Александр Князев]

Новичок совсем в этом деле, не знаю чего пугаться чего нет. Ображаюсь к базе данных:

mysql_connect("localhost", "login", "password") or die (mysql_error ());

Это нормально что я в login и password пишу логин и пароль для подключения базы данных? Вроде как кодp php из браузера посмотреть нельзя, но может я чего-то не знаю.

Answer 1

[Roman]

Вообще-то можно и поволноваться.

Может быть случай мисконфига niginx + backend (может быть бывают и случаи отвала бэкенда, но такого я не встречал, но чем черт не шутит), когда php-скрипты не будут корректно обработаны бэкендом и, вместо нормального процесса интерпретации, скрипт будет отдан плейн-текстом клиенту.

Чтобы минимизировать потенциальный урон от такого следует:

• сделать единую точку входа в приложение, (index.php в public_html и не более того);
  
• скрипты движка (фремворка), конфиги и прочее, к чему клиент в любом случае не должен иметь доступ, вынести за пределы public_html.
  

Answer 2

[Алексей С.]

как вариант можно выносить все константы , типа имени и паролей в отдельный файл и цеплять его по мере необходимости . Тут появляется удобство поделиться куском кода не замазывая строчки с паролями/токенами

Answer 3

[Сергей Бондаренко]

Выносите данные авторизации всегда в файл конфигурации.
Проще будет при переносе ресурса куда-либо.
Что касается внесения их в файлы PHP, известно миллион ситуаций когда из-за неправильного конфигурирования web-сервера, пользователям отдавался файл PHP в исходном текстовом виде. Оно вам надо?

Comments

[Max Kostikov]

Поддержу. Файлы конфигурации это стандартная практика.

Answer 4

[zooks]

Если для .php-файлов настроен хендлер, то нормально.

Comments

[Александр Князев]

можно поподробней, что есть хендлер и с чем его едят?

[Виталий Артемьев]

Александр Князев: он имеет в виду, что если PHP файл нормально обрабатывается, то норм

[landergate]

Александр Князев: Имеется ввиду, что лишь бы ваш веб-сервер не отдавал .php-скрипты как чистый текст (код скрипта) в браузере пользователей, вместо исполнения скрипта. =)

Answer 5

[Archakov Dennis]

Не слушай их, они тебе несут бессмысленные советы. Все эти варианты, подобны тому, как укрываться зонтом от пуль. Твой PHP код никто из браузера не посмотрит и таким принципом работают очень много сайтов.

Некоторые конечно хранят все эти данные в отдельный конфигах (к примеру config.php). Но если взломают твой FTP или получат доступ к хостингу, то тогда уже не спастись.

Итог: Не парься, спокойно продолжай пилить свой код и не слушай эти бесполезные советы выше :) Они не спасут твой сайт.

Comments

[Volodimir Babeshko]

Правильно все говорит товарищ, скажу больше, если будет получен доступ к файлам, то базу слить можно будет без особого труда чтобы не придумали. На своём опыте видел как шифровали пароли, то есть указывали один, при подключении передавался "обработанный", но после того как человек ушёл из компании и админы планово меняли пароль, полдня убили на выпиливание этого "функционала"

[Archakov Dennis]

Konstantin Abaiev: интересно, это как обработанный?) То есть была отдельная функция которая обрабатывала пароль (или хеш) и вставляла верный?

[Volodimir Babeshko]

Да, была отдельная функция которая брала исходный пароль и на выходе выдаёт что-то непонятное, где-то был даже генератор, но мы когда искали его не нашли, поэтому вот то что на выходе непонятное и вписывали в новый пароль пока не надоело и не выпилили это

Answer 6

[Артур]

.htaccess закрой прямое обращение к файлу