Chinaunix

标题: 怎么保存数据库的密码比较好？ [打印本页]

作者: lyreopera 时间: 2010-11-09 10:18
标题: 怎么保存数据库的密码比较好？
在写一个daemon，需要连接到mysql的数据库。

而数据库的名字，密码应该是可配置的。但是这两项，特别是密码，该怎么保存呢？

1、直接明文保存在配置文件里面，好像太不安全了。

2、加密后保存在配置文件里面，用的时候解密。这样或许要写一个专门生成/修改密码的小程序，不过用起来还是不方便……

有没有什么好点的方法啊？

作者: c/unix 时间: 2010-11-09 10:26
提示: 作者被禁止或删除内容自动屏蔽

作者: hellioncu 时间: 2010-11-09 10:31
程序自己判断配置中的是否明文，若是明文加密成密文写入配置文件

作者: lyreopera 时间: 2010-11-09 10:33
回复 3# hellioncu

这个办法值得考虑

作者: yulihua49 时间: 2010-11-10 15:46
本帖最后由 yulihua49 于 2010-11-10 15:48 编辑

在写一个daemon，需要连接到mysql的数据库。

而数据库的名字，密码应该是可配置的。但是这两项，特别是密 ...
lyreopera 发表于 2010-11-09 10:18

写一套公用函数。所有自己开发的应用都必须通过这些公用函数打开数据库。
这就是SDBC，secury database connect 的一部分功能。

作者: lsupper 时间: 2010-11-10 15:51
很多都不保存密码明文，把密码明文MD5后，存储到数据库...比对的时候，把要验证的密码MD5后，验证两个MD5后的结果是否相同来验证...

作者: lsupper 时间: 2010-11-10 15:51

程序自己判断配置中的是否明文，若是明文加密成密文写入配置文件
hellioncu 发表于 2010-11-09 10:31

我想密码的保存，安全很重要...所以一般都加密的...

作者: lsupper 时间: 2010-11-10 15:52
回复 4# lyreopera

建议还是全部加密...不然太不安全...普通管理员都可以直接看到各个用户的密码...叫用户怎么放心呢？

作者: lyreopera 时间: 2010-11-10 16:48

很多都不保存密码明文，把密码明文MD5后，存储到数据库...比对的时候，把要验证的密码MD5后，验证两个MD5后 ...
lsupper 发表于 2010-11-10 15:51

问题是，现在程序就需要一个密码来连接数据库……而且数据库的密码随时有可能改变的

像是wordpress、durpal这些web应用，安装的时候也要求在配置文件中指定密码。安装完发现密码已经被加密了。

作者: Ray001 时间: 2010-11-10 16:56
见过用方法2的。

作者: greensnow 时间: 2010-11-10 17:06
权限是关键，明文不明文不重要，不放心的话，做个最简单的加密就行了

作者: action08 时间: 2010-11-10 20:55
这个不勉强吧

放那都不安全

作者: lsupper 时间: 2010-11-10 21:51
回复 9# lyreopera

哦，这种也这种方式.防止被注入的时候，密码泄露....

欢迎光临 Chinaunix (http://bbs.chinaunix.net/)