PHP安全-存取權限暴露

 存取權限揭露

  資料庫使用中需要關注的主要問題之一是存取權限即使用者名稱及密碼的暴露。在程式設計中為了方便，通常會用一個db.inc檔保存，如：

CODE:

 

<?php
 
$db_user = 'myuser';
$db_pass = 'mypass';
$db_host = '127.0.0.1';
 
$db = mysql_connect($db_host, $db_user,
$db_pass);
 
?>

使用者名稱及密碼都是敏感數據，是需要特別注意的。他們被寫在原始碼中造成了風險，但這是一個無法避免的問題。如果你不這麼做，你的資料庫就無法設定使用者名稱和密碼來保護了。

  如果你有讀過http.conf（Apache的設定檔）的預設版本的話，你會發現預設的檔案類型是text/plain（普通文字）。這樣，如果db.inc這樣的檔案被保存在網站根目錄下時，就引發了風險。所有位於網站根目錄下的資源都有相應的URL，由於Apache沒有定義對.inc後綴的文件的處理方式類型，在對這一類文件進行訪問時，會以普通文本的類型進行返回（預設類型），這樣存取權限就被暴露在客戶的瀏覽器上了。

  為了進一步說明這個風險，請考慮一個以/www為網站根目錄的伺服器，如果db.inc被保存在/www/inc，它有了一個自已的URLhttp://www.php.cn/(假設example .org是主機域名)。透過存取該URL就可以看到db.inc以文字方式顯示的來源檔案。無論你把該檔案保存在/www哪個子目錄下，都無法避免存取權限暴露的風險。

  對這個問題最好的解決方案是把它保存在網站根目錄以外的包含目錄中。你無需為了達到包含它們的目的而把它們放至在檔案系統中的特定位置，所有隻要做的只是保證Web伺服器對其有讀取權限。因此，把它們放在網站根目錄下是沒有必要的風險，只要包含文件還位於網站根目錄下，任何減少風險的努力都是徒勞的。事實上，你只要把必須透過URL存取的資源放置在網站根目錄下即可。畢竟這是一個公開的目錄。

 

 

#  前面的話題對於SQLite資料庫也有用。把資料庫保存在目前目錄下是非常方便的，因為你只要呼叫檔案名稱而不需要指定路徑。但是，把資料庫保存在網站根目錄下就代表著不必要的風險。如果你沒有採用安全措施來防止直接存取的話，你的資料庫就危險了。

如果因為外部因素導致無法做到把所有包含檔案放在網站根目錄之外，你可以在Apache配置成拒絕對.inc資源的請求。

CODE:

 

#

<Files ~ "\.inc$">
  Order allow,deny
  Deny from all
</Files>

##譯註：如果只是因為要舉個例子而這麼寫的話，可以理解，畢竟大家學到了一些手段，但這個例子未免生硬了一點。實際上只要把該檔案改名為db.inc.php就可以了。就好像房子破了個洞而不去修補，卻在外面去造一個更大的房子把破房子套起來一樣。

 

  在第8章中你還可以看到另外一種防止資料庫存取權限暴露的方法，該方法對於共享伺服器環境（在該環境下儘管文件位於網站根目錄之外，但依然存在暴露的風險）非常有效。

以上就是PHP安全-存取權限暴露的內容，更多相關內容請關注PHP中文網（www.php.cn）！