什么是(最多?)在web应用程序中处理数据库连接的安全方法?

最安全的方法是拥有一个配置文件,并将其放在公共文件夹之外。

• 确保密码位于web服务器永远不会提供服务的地方。如果可能,将其放在webroot之外;如果这不可能,
• 确保您使用的数据库用户具有最低权限。例如,对于Wordpress安装,创建一个只供Wordpress使用的帐户,并只允许它访问它实际需要的数据库
• 将数据库配置为仅接受来自web服务器的连接,通过防止攻击者仅从网络上的任何旧随机节点使用该密码,将泄漏的影响降至最低

pg_hba.conf ,并且完全不使用密码。至少,我不认为它比将数据库密码存储在Web服务器的文件系统中更安全。

当然,您可以尝试以某种方式加密和混淆密码。但是,对于那些设法进入您的Web服务器的人来说,这种通过模糊实现的安全性并不是真正的障碍,尤其是当所有的Perl源代码都在那里阅读时。

您可以将密码存储在~/中。pgpass(当然,对于web服务器用户)。这在共享主机中显然是不安全的,在共享主机中,同一个用户被用于许多不同的网站,但如果你有一个专门的设置,它通常工作得很好。看见 http://www.postgresql.org/docs/current/static/libpq-pgpass.html .

重要的是将其存储在通用web树之外。

IP:在PostgreSQL Server上进行端口筛选,并将访问权限限制为仅访问web服务器的IP。