防止直接訪問數據庫

Question

我正在考慮一種保護PHP應用程序的方法。 我想在數據庫服務器端（MySQL）上設置一個權限受限的用戶，並在PHP應用程序中為所有數據庫請求配置該用戶。

現在的問題是，可以訪問源文件的人（例如，雇員）可以使用配置的憑據直接連接到數據庫（例如，通過phpmyadmin）。 僅應通過PHP應用程序更新數據庫。

我想建立一種機制（觸發或mysql端或php端或兩者兼有的任何可能），該機制檢查來自哪個客戶端的數據庫請求來自哪個客戶端，因此是否忽略它。 有可能這樣做嗎？ 還有其他方法可以考慮這個問題嗎？

問候

Answer 1

現在的問題是，可以訪問源文件的人（例如，雇員）可以使用配置的憑據直接連接到數據庫（例如，通過phpmyadmin）。

這不是您完全可以避免的事情。 如果有人可以訪問源文件，那么無論如何您都會被搞砸。

通常創建一些保護措施是

• 以無法從服務器外部訪問的方式配置mySQL。 請參閱限制來自本地主機的MySQL連接以提高安全性，並且也應該在防火牆級別完成（與sysadmin交談）

• 讓Web應用使用數據庫用戶帳戶，該帳戶只能訪問該應用所需的任何表格和功能。

Answer 2

如果需要設置某些用戶可以登錄的域，則可以在授予該用戶特權時指定：

*將所有特權授予您的數據庫。*至'username'@'192.168.10.12'由'goodsecret'標識；

即使將密碼從其他位置提供，這也將限制在192.168.10.12進行連接，但它不適合該grant命令。