База паролей по файлу PHP

Question

Быстрый вопрос для вас! Это мое первое WEB-приложение ... Безопасно ли оставить пароль видимым в файле PHP или есть способ его защитить или скрыть?

Спасибо

Davide

Answer 1

Существуют различные ситуации для хранения пароля, который нельзя обрабатывать таким же образом.

1. Наихудшие для безопасности есть, когда вам нужен пароль позже в открытом виде для другой службы. Из вашего комментария я вижу, что это ваша ситуация, вам нужно сохранить учетные данные для входа в базу данных. Не так много можно сделать, но сохранить пароль в отдельном файле include и поместить его где-то выше корневого каталога.
2. Немного лучше, если ваше приложение должно сохранить исправление пароль только для подтверждения. Затем вы можете сохранить хэш пароля, поэтому, даже если кто-то может прочитать ваш код, он не знает пароль открытого текста. Примером этого случая является защищенный каталог с HTTP-auth.
3. Лучший случай, когда вам необходимо хранить пользовательских паролей. Затем нужно абсолютно вычислить хэш пароля, чтобы никто, кроме пользователя, никогда не узнал (или не смог восстановить) пароль. Рекомендуемыми алгоритмами являются BCrypt, PBKDF2 и SCrypt (см. password_hash()). Никогда не используйте MD5 или SHA- *, потому что они слишком быстрые и могут быть слишком грубыми.

Я включил три случая в ответ, потому что рано или поздно вы также наткнетесь на другие случаи.

Answer 2

Нет, это не безопасно или хорошая практика, чтобы сохранить пароль виден в любом месте. Даже вы/разработчик не должны знать пароль, кроме пользователя.

Использовать хэш для шифрования пароля, а sha256/sha512 считается лучшим алгоритмом для хэширования.

Answer 3

Нет, вы всегда должны думать о безопасности. Если пароли хранятся в обычном тексте, что произойдет, если злоумышленник получит доступ к вашей базе данных? Он может легко прочитать все пароли пользователей. Вот почему мы используем технику, называемую хешированием паролей, чтобы пользователи не получали пароли пользователей.

Используйте функцию md5() php для защиты вашего пароля.

$password = md5($password);