PHP 數據庫密碼：管理“管理員”和“只讀”用戶

Question

我已經閱讀了“how-to-secure-database-passwords-in-php” ，它建議將密碼保存在應用程序的 web 根目錄之外的配置文件中，但是如果我想控制我應該使用什么模式“我網站的管理員”和“只讀”用戶。 當管理員登錄時，我需要能夠加載管理員配置密碼文件，反之亦然。 我想為兩個用戶使用相同的域 model。 我應該 model 一個“角色” object 並讓這個管理使用的密碼嗎？ 還是有更簡單的解決方案。 我還應該創建兩個單獨的密碼配置文件，還是將兩個帳戶詳細信息捆綁到一個文件中？

問候，

Answer 1

好吧，對此沒有單一的“正確”答案。 這取決於項目的復雜性和 scope - 但更重要的是，這取決於項目不斷變化的性質。

如果您預計需要具有管理員訪問權限或只讀訪問權限的不同人員進行大量更改和添加，那么是的，您將需要使用 model 層來存儲和訪問密碼。 如果您需要在應用程序的不同部分訪問更精細的權限/特權，角色 object 可能會很有用。 否則，在角色字段中有一個 boolean isAdmin 字段或整數/枚舉可能沒問題。

在配置文件中設置面向用戶的密碼可能會起作用的唯一情況是管理員很少被訪問，並且只有一兩個人訪問。 否則，您希望將密碼視為應用程序 model 的完整部分。

Answer 2

除數據庫密碼外的所有密碼都應存儲在數據庫中並進行單向哈希處理。 這是最簡單、最常用的方法，而且非常安全。 是的，將 db 密碼存儲在 web 根目錄上方的配置文件中也是一個好主意。