Zend数据库适配器 - 未捕获的异常 - 堆栈跟踪显示用户名和密码

Question

我正在使用Zend_Db_Adapter ，特别是Zend_Db_Adapter_Pdo_Abstract 。 我想这个问题也扩展到其他适配器。 抛出PDOException ，它“未被捕获”，并且在许多情况下，堆栈跟踪显示用户名和密码。

我已经验证以下PDO异常都显示堆栈跟踪中的凭据：

• SQLSTATE [HY000] [2005]未知的MySQL服务器主机...剪...
• SQLSTATE [HY000] [2013]在“读取授权包”中丢失与MySQL服务器的连接
• SQLSTATE [1040]连接太多
• SQLSTATE [28000] [1045]拒绝用户访问...剪断... （使用密码：是）

当出现错误时，我的生产站点没有显示堆栈跟踪，我仍然希望在我的开发环境中看到这些错误的堆栈跟踪，我只是不希望用户名和密码以明文形式显示。

Answer 1

我会通过不解决它来解决这个问题...让我解释一下：

目前无法从未捕获的异常中禁用堆栈跟踪。 PHP不允许你这样做。

所以，不要试图禁用它，我只是不要让一个异常没有被捕获......我会安装一个异常处理程序 ，然后记录回溯信息。 我不会在屏幕上显示它。 我不会检查它所在的环境。我不会检查请求信息。 我只是将它记录到一个文件，并显示一个通用的500服务器错误页面。

现在，在您的处理程序中，您可以有选择地显示调用信息，以便您可以选择是否记录参数信息：

set_exception_handler(function($exception) {
    $log = array(
        'message' => $exception->getMessage(),
        'trace' => array(),
    );
    foreach ($exception->getTrace() as $item) {
        $trace = isset($item['class']) ? $item['class'] . $item['type'] : '';
        $trace .= $item['function'] . '()';
        $log['trace'][] = $trace;
    }
    save_to_log($log);
});

但是我将未被捕获的异常视为应用程序中的错误的标志。 你应该找到它们并修复它们。 如果你得到足够的，你担心在页面中显示参数，那么你真的需要解决这样一个事实：首先存在未被捕获的异常......

编辑这是一个发生了什么的演示：

class Foo {
    public function doSomething($user, $password) {
        throw new Exception('Something Went Wrong!');
    }
}

$f = new Foo();

$f->doSomething('user', 'passw');

在CodePad上的结果是：

<br />
<b>Fatal error</b>:  Uncaught exception 'Exception' with message 'Something Went Wrong!' in /code/MxH9Ls:4
Stack trace:
#0 /code/MxH9Ls(10): Foo-&gt;doSomething('user', 'passw')
#1 {main}
  thrown in <b>/code/MxH9Ls</b> on line <b>4</b><br />

但是，使用异常处理程序（修改为打印而不是日志）：

set_exception_handler(function($exception) {
    $log = array(
        'message' => $exception->getMessage(),
        'trace' => array(),
    );
    foreach ($exception->getTrace() as $item) {
        $trace = isset($item['class']) ? $item['class'] . $item['type'] : '';
        $trace .= $item['function'] . '()';
        $log['trace'][] = $trace;
    }
    echo $log['message'] . "\n";
    foreach ($log['trace'] as $trace) {
        echo " - $trace\n";
    }
});

class Foo {
    public function doSomething($user, $password) {
        throw new Exception('Something Went Wrong!');
    }
}

$f = new Foo();

$f->doSomething('user', 'passw');

在CodePad上产生：

Something Went Wrong!
 - Foo->doSomething()

Answer 2

您可以尝试两种方法，第一种也许是最好的解决方案是捕获异常并将它们传递给自定义异常类。 该类还将采用适配器的实例：

未经测试的例子

class myPDOException extends Exception
{
     public function __construct($message = '', $code = 0, Exception $previous = null, Zend_Db_Adapter_Abstract $adapter) {
        $config = $adapter->getConfig();
        $message = str_replace(array($config['username'], $config['password']), array('--user--', '--pass--'));
        parent::__construct($message, $code, $previous);
     }         
}

另一个选择是在检查你的引导程序后使用set_exception_handler，如果env是开发，那么你可以执行以下操作;

function exception_handler($exception) {
    if ($exception instanceof PDOException) {
        //load your configuration
        //replace the user pass in the message
        //rethrow the exceptio with the updated message
    }
}

set_exception_handler('exception_handler');

我处理不可见异常的方法是将它们保存到队列中，然后通过电子邮件向我发送所有必要的信息，我们可以解决异常的原因。

希望有所帮助

松鸦