Wie um sicher zu speichern Sie ein Passwort in PHP-code?

Ihre PHP-code wird (baring-Konfiguration Fehler) auf dem server verarbeitet werden. Nichts im <?php ?>; Blöcke immer sichtbar auf dem browser. Sie sollten sicherstellen, dass der deployment-server wird nicht angezeigt, syntax-Fehler an den client - also die Fehlerberichterstattung ist etwas nicht einschließlich E_PARSE, daß eine übereilte Bearbeiten der live-code (gebe es zu, wir alle tun 🙂 Leck einige Informationen.

Edit: Der Punkt über die Speicherung in einer Datei außerhalb des document root) Exposition vermeiden, wenn Sie Ihre PHP-Konfiguration bricht ist sicherlich gültig. Wenn ich in PHP, hielt ich eine config.inc-Dateien außerhalb von htdocs, dass war required zur Laufzeit, und exportierte Konfiguration auf bestimmte Variablen (z.B. Passwörter).

Sagen wir mal Ihr Passwort "iamanuisance". Hier ist, wie zu speichern das Passwort im code. Nur slip dies in Ihrem Kopf-irgendwo.

//calculate the answer to the universe
${p()}=implode(null,array(chr(0150+floor(rand(define(chr(ord('i')+16),'m'),
2*define(chr(0x58),1)-0.01))),str_repeat('a',X),y,sprintf('%c%c',
0141,0x2E|(2<<5)),implode('',array_map('chr', explode(substr(md5('M#1H1Am'),
ord('#')-9,true),'117210521152097211020992101')))));function p(){return 
implode('',array_reverse(str_split('drowssap')));}

Nur in einem Fall ist es nicht ganz offensichtlich, dann können Sie leicht Zugang zu den Kennwort später auf als $password. Prost! 😛

Wenn Sie abrufen können, die das Passwort innerhalb von PHP, dann ist es wieder auffindbar...

Die einzige Sache, die Sie tun können, ist, sich zu bewegen Sie Ihr Kennwort ein, um ein "geschützter" Ort.

Meisten hosting-Unternehmen bieten einen separaten Ort, wo können Sie Ihre DB-Dateien usw., und diese Lage wird nicht der Zugang über den browser. Sollten Sie die Speicherung der Passwörter gibt.

Aber Sie sind immer noch auf dem server, und wenn jemand erhält Zugang zu Ihrem Rechner hat, dann hat er dein Passwort. (Er bekommt, um Ihre PHP -, der hat die Möglichkeit, Sie zu entschlüsseln, und er hat Zugriff auf die geschützte Datei -> er kann es Lesen)

Also gibt es keine solche Sache wie eine "sichere Passwort"

Die einzige option, die SIE haben, ist nicht die Speicherung der PASSWÖRTER für Ihre Benutzer etc... ich wütend, wenn ich einen Dienst abonnieren, und Sie boten an, schicken Sie mir mein Passwort per E-Mail, falls ich es vergessen. Sie speichern es in einer "Abrufbaren Weg", und das ist nicht etwas, was Sie tun sollten.

Das ist, wo alle die das Hashen und Salzen kommt. Sie möchten veryfy, dass jemand auf eine Ressource zugreifen können. Damit Sie hash + Salz das Kennwort, und speichern Sie in der Datenbank für die BENUTZER, die Zugriff auf den Dienst, und wenn der Nutzer will, um Sie zu authentifizieren anwenden des gleichen Algorithmus zum erstellen der hash und vergleichen diese.

PHP-code-Blöcke nicht abgerufen werden können, von Kunden, es sei denn, Sie Ausgabe etwas. Beachten Sie:

<?php
   if($password=="abcd")
       echo "OK";
   else
       echo "Wrong.";
?>

Benutzer kann sich entweder auf OK oder Falsch, sonst nichts.

Vorgeschlagen, speichern Sie das Passwort mit sha1, gesalzen und gepfeffert

function hashedPassword($plainPassword) {
    $salt = '1238765&';
    $pepper = 'anythingelse';    
    return sha1($salt . sha1($plainPassword . $pepper));
}

vergleichen und dann die zwei Werte

if ($stored === hashedPassword('my password')) {
   ...
}

Und wenn Sie können nicht speichern Sie Ihre Hash-Passwörter, die außerhalb der root-server, denken Sie daran, apache anweisen, verbieten den Zugriff auf die Datei, in der Ihre .htaccess-Datei:

<Files passwords.config.ini>
  Order Deny,Allow
  Deny from all
</Files>