mysql - 如何在 Web 应用程序中安全地存储邮件服务器的密码

Question

不，我并不是要加密存储我的用户密码，我使用password_hash()来实现这一点。问题是我想使用 PHPMailer 向用户发送电子邮件，并且电子邮件凭据应该可以通过 Web 应用程序进行配置，因此存储在服务器上(基本上应用程序有自己的电子邮件帐户)。

如果有最佳实践将此信息存储在数据库中，那么我不应该在数据库中加密用户的电子邮件地址，这样万一它被损坏，入侵者至少没有一个简单的密码邮件地址的文本列表？

我的另一个想法是将凭据写入文件，但这被认为更安全吗？

我正在使用 MariaDB、Apache2 和 PHP7。

编辑:为什么 stackoverflow 在开头删掉了我的“Hello”？

Answer 1

通常这种密码存储在文件中。这是固执己见的，所以请从中得出您自己的结论，但您应该在非网络可达的(非常明显，但更愿意声明它)目录中拥有一个对您的网络应用程序具有读取权限的文件。通常，该文件在离开服务器时应进行加密(如果出于某种原因需要提交密码文件)。而且这个政策被认为是相当安全的。

在某些时候，您有一个纯文本形式的给定密码(例如:您的数据库密码，如果可能在配置文件中)，老实说，访问您的数据库比访问您的邮件出站服务器要糟糕得多

关于第二部分，良好的做法表明您应该加密所有敏感信息。然而，您应该意识到，您还不能在 sql 中查询加密数据，因此，如果您确实需要“可查找”此敏感数据，则需要朝这个方向采取措施，这可能会不必要地增加应用程序的复杂性。

但如上所述，这是固执己见的