保护具有数据库写权限的文件

Question

关于安全问题，我有一个很好的问题。

• 如何保护目录和该目录中的文件免受黑客攻击？

CASE：

• 网站上所有与具有写入权限的dBase连接/登录的文件都存储在一个目录中
• dBase上的所有其他请求都是只读的。 （即网页请求）
• 全部用PHP和jQuery编写。
• （有了这个，这个Q也待决：你怎么也保护了 下载主.js文件？）

对此的解决方案 - 经过广泛研究后 - 仍然不清楚。

我想知道你们有没有任何想法。 而且我知道在这里阅读你的想法非常有用： - ）

提前致谢！

Answer 1

有几种方法可以解决这个问题。第一种方法是在您不希望任何人看到的目录中使用.htaccess文件。以下内容应该有效：

order allow,deny
deny from all

更好的方法是将凭据存储在www root之外的服务器上的单独文件中。

<?php
$dbUsername = 'mywebapp';
$dbPassword = 'jlsdkfj94r493340rfj30f';
?>

然后只需将其包含在主代码

中

<?php
include '/path/to/secure/location/vars.php';
?>

这也让你可以更严格地限制对该文件的访问。例如，我没有将我的密码添加到源代码管理中。

关于网站一般安全性的问题的第二部分实际上取决于您需要的安全性。 Javascript文件总是需要客户端访问，并且这些文件中的任何内容都可以在不费力的情况下被拔出和读取。

我的快速网络安全提示是：

• 清理/参数化用户标题到数据库的任何输入
• 从公共文件中删除密码和敏感信息
• 及时了解您的网络服务器的安全补丁
• 始终使用完善的测试加密库。永远不要试图自己实现
• 盐和哈希任何命中数据库的密码

网络和计算机安全是一门学科，所以如果您的风险很高，您可能需要寻找专家。

Answer 2

如果您想保护他们免于阅读，您可以使用ioncube对其进行编码。但是使用安全的网站，您无需考虑保护文件，因为没有人可以访问您的文件。

Answer 3

这种课程的安全性有很多不同的方法。但是一个简单的基本安全方法可能是拒绝目录列表到文件夹，然后创建编码文件名并将它们放在dBase中。