8

Imaginando que eu tenho um site pequeno, e esse site armazena e retorna informações do banco de dados. Atualmente vejo muita gente armazenando os dados de login para o MySQL ou paths em variáveis PHP ou define constantes.

<?php
...
$db_host = "localhost";
$db_x = "xxx";
// ou
DEFINE("DB_HOST", "localhost");
...
?>

Na página do PHP li algumas das notas de contribuição dos usuários, e alguns disseram que a melhor forma de armazenar configurações, é em ficheiros de configuração .ini, em outros casos, como por exemplo os frameworks, armazenam paths e outros dados em ficheiros .json.

Se eu salvar configurações num desses ficheiros, qual garantia eu tenho de que será mais seguro, e como posso ler essas configurações de forma segura ?

5
  • 2
  • Obrigado, mas eu gostaria de saber mesmo quais vantagens teria se fosse usar cada um deles, e como seria a melhor forma de armazenar e ler elas.
    – Laura
    Commented 30/11/2015 às 14:48
  • 1
    Não vejo uma questão de segurança e sim mais questão de praticidade para eventuais alterações. Sim no meu caso uso mais por praticidade. Acredito que esse tipo de necessidade surgiu para programas compilados, para não ter necessidade para compilar o programa td vez que muda a configuração do banco de dados (senha, usuario, endereço do servidor, etc).
    – Skywalker
    Commented 30/11/2015 às 15:22
  • @Skywalker obrigado pelo exemplo de uso, eu achei isso aqui
    – Laura
    Commented 1/12/2015 às 13:03
  • Só um detalhe: não existe segurança inquebrável, então nunca terá garantia de nada. Mas pode se apoiar em uma análise de risco que terá informações sobre o grau da segurança sob cada forma de armazenar configurações. A forma mais segura ainda é criptografia de dados. Commented 2/08/2016 às 14:28

2 Respostas 2

6

Não tem nenhuma garantia, pelo contrário, se não souber o que está fazendo é mais fácil acabar fazendo algo menos seguro desta forma. Mudar a extensão ou mesmo o formato do texto interno não dá segurança alguma.

Talvez essa ideia de armazenar em um arquivo .ini fora da área de acesso do site, em um caminho separado que o servidor HTTP não tem acesso. Mas não importa a extensão ou formato do arquivo, o que importa é se ele está fora do acesso público, mas não faz muita diferença. Em um servidor configurado e funcionando corretamente a segurança é a mesma. Em um servidor mal configurado ou comprometido se lascou nos dois casos. "Garantia" de segurança (muito entre aspas) é estudar profundamente o funcionamento dos computadores, sistemas operacionais, servidores, linguagens e outros aspectos da computação, além de manter um comprometimento com a qualidade a todo instante.

A melhor forma de acessar banco de dados de forma anônima ainda é manter a configuração em um arquivo .php, como todo mundo faz, desde que tudo esteja configurado corretamente.

Isto não garante nada se o servidor for comprometido, mas em condições normais, é seguro.

3

Como já dito anteriormente pelo @Maniero, é recomendável que as configurações estejam num script PHP, já que o código do mesmo será interpretado apenas pelo PHP, e você não corre o risco de ter seu dados expostos, caso alguém consiga acesso direto ao script.

Uma que é utilizada pelo framework Laravel seria da seguinte forma:

config/database.php

return array(
       'default' => 'mysql_local',
       'mysql_local' => array(
            'host' => 'localhost',
            'database' => 'sopt'
       )
);

Na chamada da configuração, você pode fazer assim:

$config = include 'config/database.php';

$conf_database = $config['mysql_local'];

Como você usou o returnno arquivo de configuração database.php, então foi possível capturar esses dados numa variável, através do include.

respondi sobre isso aqui.

Você deve fazer log-in para responder a esta pergunta.

Esta não é a resposta que você está procurando? Pesquise outras perguntas com a tag .