php - 从 PHP 读取 .ini 文件时如何确保其安全

Question

我正在创建一个使用 php 和 mysql 的网站。我将所有 mysql 访问数据保存在一个名为“config.ini”的 ini 文件中。这个文件需要是安全的，这样恶意用户就无法访问 mysql 访问数据。当 php 尝试访问它时会出现问题，因为它作为用户“www-data”(不是根用户)访问它时拒绝请求。如果我随后允许通过此命令访问“www-data”。

sudo chown -R root:www-data config.ini
sudo chmod -R g+s config.ini

任何用户都可以通过输入网站地址和/config.ini 来查看它，因为 apache 通过同一用户访问它，不安全。

PHP 代码

$conf = parse_ini_file('config.ini');
$conn = mysqli_connect($conf["host"], $conf["user"], $conf["password"], $conf["database"]);

欢迎提出任何建议，提前谢谢。

完整答案

1)将config.ini放在webroot以外的目录下。
2)使用此命令创建一个包含“www-data”的组。

sudo chown root:www-data config.ini

3) 使用此命令授予它读取权限。

sudo chmod 640 config.ini

4) 在 php 中正常访问它，但使用 ../指向新位置。

Answer 1

如果您担心恶意访问，这当然是一件值得关注的好事，请确保您的 .ini 文件不在您的 Web 服务器配置服务的任何目录中从。也就是说，绝对确保它位于您网站的网络根目录之外。

其次，您通常可以将 Web 服务器配置为拒绝提供 .ini 文件。您还需要确保关闭目录索引之类的东西，这样人们就无法四处查看。