sqlite用户/密码安全

Question

我正在开发一个简单的网站，我正在尝试一个 sqlite 数据库。与 MySQL 不同的是，当您连接到数据库时，您不需要说用户名/密码，而使用 MySQL 时您会说。

因此，任何人都可以访问它。保存敏感信息不是安全漏洞吗？

甚至隐藏您的 db.sqlite，从第三方程序/网络查询此数据库以获取信息应该不难。

感谢您的宝贵时间。

Answer 1

sqlite 依靠文件权限来保护数据，正如您所提到的，它不需要登录。来自 IBM

SQLite has no concept of user accounts, and instead relies on the file system for all database permissions. This makes enforcing storage quotas difficult and enforcing user permissions impossible.

保护数据库的方法是设置文件权限，以便只有特定用户才能访问数据。如果您在 Linux 上运行网站，您可以使用 chmod 设置这些。通常，您将 Web 服务器设置为在其 own user 下运行，例如 www-data，然后将对 sqlite 文件的访问限制为仅该用户。例如:

chown www-data database.db    # set ownership of the database.db file.
chmod 600 database.db         # allow only read-write by the owner.

这可以防止第三方程序或任何外部方利用文件系统安全性读取数据库。