PHP 和 MySQL 安全 Web 应用程序 - 整个网站作为单个 index.php 文件是或否？

Question

我正在开发将使用 PHP 和 MySQL 的 Web 应用程序。应用程序将处理 secret 数据。我需要使其尽可能安全。

我不希望应用程序用于连接数据库的 MySQL 用户的密码以明文格式写入 PHP 文件(例如 root 帐户)。

因此，我用存储过程制作了伪 MySQL 角色系统。用户将使用其 MySQL 用户名和密码登录应用程序。他们仅具有执行 MySQL 存储过程的权限，但不具有对存储过程内部使用的表的 SELECT、INSERT、UPDATE、DELETE 权限。存储过程的定义者将是root帐户。

我有一个问题。那就是:我不想在 session 中以明文格式存储登录表单数据(examole 的密码)。我无法使用 session 将 mysql 连接资源对象从一个页面传输到另一个页面。

我现在正在考虑将整个 Web 应用程序制作为一个大的 index.php 文件。这样我就可以在需要时随时使用 MySQL 连接资源。

有更好的方法可以做到这一点吗？大概。我不想在浪费太多工作后后悔我的选择:)。

提前谢谢您。

Answer 1

您仍然需要将用户名和密码保存到 session 中。但不要以明文形式保存密码，请使用 openssl_encrypt 和 openssl_decrypt 以及您自己的哈希值。

http://php.net/manual/en/function.openssl-encrypt.php

但是这个函数从PHP 5.3.0以上开始出现