php - 直接从应用程序访问 MySQL 实际上有多不安全？

Question

我正在开发一个小型应用程序，它将作为使用 MySQL 作为后端数据库的 Web 应用程序的查看器(某种仪表板)。应用程序将只执行 SELECT 操作，而不执行 INSERT 或 UPDATE 操作或任何更改数据的操作。我知道构建此应用程序的首选方法是创建一个可以访问数据库的 Web 服务，然后让客户端应用程序调用该 Web 服务。这样你就可以真正保护你的 MySQL 数据库，只允许本地主机访问。

另一方面，拥有 Web 服务会大大增加应用程序的复杂性和所需的资源。我不仅要编写两次流程，还必须编写两套测试套件和集成测试，并且由于客户端是用 .net c# 编写的，后端是用 php 编写的，所以我必须开发某种交换格式并保留在整个开发过程中在两种语言和 IDE 之间切换。

我可能会编写该服务，但我想知道的是那里的体验如何？我是不是疯狂地考虑直接从客户端访问 MySQL，或者 Oracle 的优秀工程师在保护他们的数据库方面做得很好，至少对于只有读取权限的用户来说是这样。

Answer 1

如果您只是为了选表而直接访问mysql数据库，则需要有适当权限访问的用户来保证访问安全。

但您需要记住，如果您打开数据库端口进行外部访问，则数据库中的任何安全故障都将暴露。

如果您需要其他规则，例如仅选择用户的组访问权限的特异性选择，您将需要在数据库中编写读取参数的过程，并记住，如果某些用户利用您的应用程序，他将能够传递其他参数来查询您的数据库。

不只是oracle或mysql，所有数据库都有很多安全选项可以提供外部访问，但用于复杂的应用程序甚至比做一个服务层来保证安全访问还要困难。

默认情况下，直接 SQL 查询咨询中没有加密通信。