草庐IT

java - 如何保护 MySQL 数据库免受未经授权的访问并从 Java 应用程序安全地连接到它

coder 2023-10-16 原文

好的，我提前为这个问题道歉，因为它太宽泛了。

基本上，我开发的系统涉及:

  1. 用户可以注册帐户的网站。此过程将在服务器上为该帐户创建一个新数据库。
  2. 用 Java 编写的客户端外部应用程序。这将访问数据库中的数据，以便为用户执行有用的操作。
  3. 在第一点中创建的数据库本身。

我的问题是关于应实现哪些安全措施以确保数据库安全以及如何安全地传输数据。

我的担忧是:

  1. MySQL 数据库实际上是如何安全的？当我在注册帐户时创建数据库时，是否需要为该数据库设置密码？这会加密数据库吗？这足以阻止某人访问数据吗？
  2. Java 很容易反编译。假设我要将帐户数据库的登录数据存储在主数据库中，我如何保护该数据库并以不需要我硬编码连接到该数据库的详细信息的方式从我的应用程序连接到它在应用程序中。我相信这在编译为 native 代码的语言中一定也是一个问题，因为有人可以在应用程序运行时执行内存转储来获取此类变量(我认为)。
  3. 当从服务器向客户端发送和接收数据时，反之亦然，如何防止网络窃听和获取数据(无论是登录凭据还是数据库中的其他数据)。我假设这就是 SSL 的用途，但这是我需要使用的全部吗？

这些问题的可能答案是在 Java 客户端应用程序和数据库之间使用中间人服务，这与在 Javascript 和 MySQL 数据库之间使用 PHP 的方式非常相似(尽管 PHP 是必需的)这个案例)。我假设这个中间人服务将包含主数据库等的登录凭据，并将包含自己的方法来防止未经授权的访问。如果这是正确的，我将如何设置这样的服务？是否可以利用 Java 应用程序中的 PHP 脚本来传输数据？

我希望我的问题是有道理的，不要太含糊。 提前感谢您的宝贵时间。

最佳答案

How is a MySQL database actually secured? When I create the database at the point of account registration, do I need to set a password for that database? Does this encrypt the database? Is this enough to prevent someone from accessing the data?

  1. 使用帐户名和密码，以及“授予”不同用户的特定数据库的不同访问权限。

  2. 密码与用户帐户关联，与数据库无关。

  3. MySQL 数据库未加密。

  4. 是的...不过，如果不受信任的人可以获得数据库本身或托管数据库的系统的管理员控制权，那么一切都将落空。

Java is pretty easy to decompile. Assuming I am to store the log in data for an account database in a master database, how do I secure that database and connect to it from my application in a way which doesn't require me to hard code the details for connecting to that database in the application.

一种常见的方法是将连接详细信息和/或帐户凭据放入应用程序在启动时加载的属性文件中。但是，我认为您真正的问题是您希望允许在不受信任的机器上运行的应用程序更新数据库。一个更明智的解决方案是在适当保护的机器上运行受信任的服务，并让不受信任的机器与受信任的服务对话，而不是直接与数据库对话。

I believe this must be an issue in languages which are compiled to native code too, as someone could just perform a memory dump to get hold of such variables at run time of the application (I think).

没错。

When sending and receiving data to the client from the server and vice versa, how do I prevent someone from network eavesdropping and getting hold of the data (whether this be log in credentials or other data from the database). I assume this is what SSL is for, but is that all I need to use?

SSL 足以保护通过网络发送的数据(或凭据)。

中间人攻击的情况是模糊的，尤其是在涉及到网络浏览器以及受信任的根是否真的应该被信任时。但是如果我理解我所读的内容是正确的，那么有一种方法可以使用 SSL，它应该不受 MITM 的影响。基本上，您需要为所有参与者(客户端、服务器)生成单独的 SSL 证书，并使用带外分发机制将它们分发给所有人；即不通过互联网。然后您只接受来自具有已知证书的各方的 SSL 连接。并确保您使用的是 TLS 1.1 或 1.2。

关于java - 如何保护 MySQL 数据库免受未经授权的访问并从 Java 应用程序安全地连接到它，我们在Stack Overflow上找到一个类似的问题： https://stackoverflow.com/questions/13801617/

免受未经的databaseblockquotejavamysqlsecurity

有关java - 如何保护 MySQL 数据库免受未经授权的访问并从 Java 应用程序安全地连接到它的更多相关文章

  1. ruby - 为什么我可以在 Ruby 中使用 Object#send 访问私有(private)/ protected 方法？ - 2

    类classAprivatedeffooputs:fooendpublicdefbarputs:barendprivatedefzimputs:zimendprotecteddefdibputs:dibendendA的实例a=A.new测试a.foorescueputs:faila.barrescueputs:faila.zimrescueputs:faila.dibrescueputs:faila.gazrescueputs:fail测试输出failbarfailfailfail.发送测试[:foo,:bar,:zim,:dib,:gaz].each{|m|a.send(m)resc

  2. ruby - 在 Ruby 程序执行时阻止 Windows 7 PC 进入休眠状态 - 2

    我需要在客户计算机上运行Ruby应用程序。通常需要几天才能完成(复制大备份文件)。问题是如果启用sleep，它会中断应用程序。否则，计算机将持续运行数周，直到我下次访问为止。有什么方法可以防止执行期间休眠并让Windows在执行后休眠吗？欢迎任何疯狂的想法;-) 最佳答案 Here建议使用SetThreadExecutionStateWinAPI函数，使应用程序能够通知系统它正在使用中，从而防止系统在应用程序运行时进入休眠状态或关闭显示。像这样的东西:require'Win32API'ES_AWAYMODE_REQUIRED=0x0

  3. ruby - 将差异补丁应用于字符串/文件 - 2

    对于具有离线功能的智能手机应用程序，我正在为Xml文件创建单向文本同步。我希望我的服务器将增量/差异(例如GNU差异补丁)发送到目标设备。这是计划:Time=0Server:hasversion_1ofXmlfile(~800kiB)Client:hasversion_1ofXmlfile(~800kiB)Time=1Server:hasversion_1andversion_2ofXmlfile(each~800kiB)computesdeltaoftheseversions(=patch)(~10kiB)sendspatchtoClient(~10kiBtransferred)Cl

  4. ruby - 如何指定 Rack 处理程序 - 2

    Rackup通过Rack的默认处理程序成功运行任何Rack应用程序。例如:classRackAppdefcall(environment)['200',{'Content-Type'=>'text/html'},["Helloworld"]]endendrunRackApp.new但是当最后一行更改为使用Rack的内置CGI处理程序时，rackup给出“NoMethodErrorat/undefinedmethod`call'fornil:NilClass”:Rack::Handler::CGI.runRackApp.newRack的其他内置处理程序也提出了同样的反对意见。例如Rack

  5. ruby - 在 Ruby 中编写命令行实用程序 - 2

    我想用ruby​​编写一个小的命令行实用程序并将其作为gem分发。我知道安装后，Guard、Sass和Thor等某些gem可以从命令行自行运行。为了让gem像二进制文件一样可用，我需要在我的gemspec中指定什么。 最佳答案 Gem::Specification.newdo|s|...s.executable='name_of_executable'...endhttp://docs.rubygems.org/read/chapter/20 关于ruby-在Ruby中编写命令行实用程序

  6. ruby-on-rails - Rails 应用程序之间的通信 - 2

    我构建了两个需要相互通信和发送文件的Rails应用程序。例如，一个Rails应用程序会发送请求以查看其他应用程序数据库中的表。然后另一个应用程序将呈现该表的json并将其发回。我还希望一个应用程序将存储在其公共(public)目录中的文本文件发送到另一个应用程序的公共(public)目录。我从来没有做过这样的事情，所以我什至不知道从哪里开始。任何帮助，将不胜感激。谢谢! 最佳答案 无论Rails是什么，几乎所有Web应用程序都有您的要求，大多数现代Web应用程序都需要相互通信。但是有一个小小的理解需要你坚持下去，网站不应直接访问彼此

  7. ruby-on-rails - 在混合/模块中覆盖模型的属性访问器 - 2

    我有一个包含模块的模型。我想在模块中覆盖模型的访问器方法。例如:classBlah这显然行不通。有什么想法可以实现吗？ 最佳答案 您的代码看起来是正确的。我们正在毫无困难地使用这个确切的模式。如果我没记错的话，Rails使用#method_missing作为属性setter，因此您的模块将优先，阻止ActiveRecord的setter。如果您正在使用ActiveSupport::Concern(参见thisblogpost)，那么您的实例方法需要进入一个特殊的模块:classBlah

  8. ruby - 无法运行 Rails 2.x 应用程序 - 2

    我尝试运行2.x应用程序。我使用rvm并为此应用程序设置其他版本的ruby​​:$rvmuseree-1.8.7-head我尝试运行服务器，然后出现很多错误:$script/serverNOTE:Gem.source_indexisdeprecated,useSpecification.Itwillberemovedonorafter2011-11-01.Gem.source_indexcalledfrom/Users/serg/rails_projects_terminal/work_proj/spohelp/config/../vendor/rails/railties/lib/r

  9. ruby-on-rails - Rails 应用程序中的 Rails : How are you using application_controller. rb 是新手吗？ - 2

    刚入门rails，开始慢慢理解。有人可以解释或给我一些关于在application_controller中编码的好处或时间和原因的想法吗？有哪些用例。您如何为Rails应用程序使用应用程序Controller？我不想在那里放太多代码，因为据我了解，每个请求都会调用此Controller。这是真的？ 最佳答案 ApplicationController实际上是您应用程序中的每个其他Controller都将从中继承的类(尽管这不是强制性的)。我同意不要用太多代码弄乱它并保持干净整洁的态度，尽管在某些情况下ApplicationContr

  10. ruby - 续集在添加关联时访问many_to_many连接表 - 2

    我正在使用Sequel构建一个愿望list系统。我有一个wishlists和itemstable和一个items_wishlists连接表(该名称是续集选择的名称)。items_wishlists表还有一个用于facebookid的额外列(因此我可以存储opengraph操作)，这是一个NOTNULL列。我还有Wishlist和Item具有续集many_to_many关联的模型已建立。Wishlist类也有:selectmany_to_many关联的选项设置为select:[:items.*,:items_wishlists__facebook_action_id].有没有一种方法可以

随机推荐