security - 可以对凭证进行硬编码吗？

Question

关闭。这个问题是 opinion-based 。目前不接受答案。

---

想要改进这个问题吗？更新问题，以便 editing this post 可以用事实和引文来回答它。 .

已关闭 8 个月前。

Improve this question

我正在和一个 friend 一起开发一个小型网络项目。它涉及到很多MySQL查询，所以我创建了一个ConnectToDatabase()连接到服务器并选择我们的数据库的函数。

它看起来像这样:

function ConnectToDatabase()
{
    mysql_connect("db.myawesomehost.com", "Bob", "correcthorsebatterystaple");
    mysql_query("USE BobDB;");
}

像这样对我们的凭据进行硬编码感觉真的很糟糕。但我想不出任何其他方法来处理它。将它放在一个常量中并不能真正解决任何问题，并且将其隐藏在某个文本文件中似乎很荒谬。

我应该关心吗？在拥有大量人员的大型项目中如何处理？

Answer 1

将其分解为单独的配置文件。其一，它至少可以让您设置一些变量，例如“DEBUG_MODE”，它将切换您的测试环境的生产凭据。如果您愿意，您可以选择不将单独的文件置于版本控制之下，或者在代码存储库中保留一个带有虚拟凭据的文件，以便用户必须提供自己的凭据，而不是访问全局凭据。