Php 连接到数据库 : is it secure?

Question

我使用以下 php 代码连接到 mysql 数据库。

$hostname = "hostname.com";
$database = "dbtest";
$username = "admin";
$password = "pass123";
$connect = mysql_pconnect($hostname, $username, $password) or trigger_error(mysql_error(),E_USER_ERROR);
mysql_select_db($database);

此代码位于一个名为 connect.php 的连接文件中，该文件包含在所有需要访问数据库的 php 脚本中。

如果黑客获得 connect.php 的 url (http://www.domainname.com/connect.php)，是否有可能破解我的数据库。如何确保 php 连接代码不帮助黑客？或者哪种连接数据库的方式最安全？

Answer 1

您永远不应该在网站的文档根目录中包含带有代码的 PHP 文件。文档根目录中唯一的东西应该是 bootstrap file并通过此路由所有请求。如果您将该文件放在站点的文档根目录中，并且由于某种原因网络服务器不解析该文件，它将按原样显示。

请不要在新代码中使用mysql_* 函数。它们不再维护，社区已经开始 deprecation process .查看red box ？相反，您应该了解 prepared statements并使用 PDO或 MySQLi .如果你不能决定，this article会帮助选择。如果你想学习，here is a good PDO tutorial .

并且始终使用加密连接 (SSL)。

请参阅 routing examples和 dispatching patterns .基本上应该发生的是:所有请求都由文档根目录下的 index.php 文件处理。 index.php 引导所有内容(即调用(包含))文档根目录之外的另一个文件。该文件将检查请求的 URL 并找出属于当前 URL 的文件并执行它。