所以我目前正在构建一个使用 PHP 作为 Web 服务的应用程序，该应用程序随后与我存储数据的数据库进行对话。我选择了这条路线，因为我将有一个前端应用程序，它将与数据库对话并将被分发，我不想在其中包含任何敏感的连接数据。截至目前，我的应用程序是这样工作的:
1) 客户端应用程序将数据打包为 JSON，并通过 AJAX 将其发送到外部 PHP 网络服务。
2) PHP 网络服务接收请求并验证它。此验证是通过检查是否通过查询字符串提供了正确的参数，传递的 JSON 字符串是有效的 JSON，json_decoded JSON 对象中的属性与我期望的 JSON 对象具有相同的名称来完成的，并且每个属性的值类型都是我期望的 JSON 对象的正确类型。
3) 如果 JSON 有效，则 PHP 连接到数据库并调用与输入参数对应的存储过程。连接数据保存在单独的 config.php 文件中，并包含在 Web 服务中。
4) 如果数据库调用成功，任何相关数据将通过 JSON 返回给调用者。发生的任何错误都会终止线程并向客户端返回错误。
现在，有了这个架构，有没有任何人看到的尖叫漏洞？为了更好地保护连接数据(因为这主要是我想对用户隐藏的内容)，我正在考虑执行以下操作:
-在我选择的基础上对 config.php 中的数据进行编码，然后在连接到数据库时对其进行解码。
-混淆服务和配置文件。
就保护我的连接值而言，这听起来足够了吗？除了 config.php 文件之外，是否有更好的方法来存储敏感的连接数据？有没有办法让某人轻松访问包含敏感数据的 .php 文件？如果您能就如何进一步保护此应用程序免受攻击提供任何建议，我们将不胜感激。
最好的问候，
最佳答案
您可以使用 PHP OpenSSL 库来加密配置文件中的敏感数据(而不是通过默默无闻的方式使用安全性)。首先使用 OpenSSL 生成 PKCS #12 证书，然后创建一个使用 OpenSSL 库导入该证书并加密部分或整个配置文件的 PHP 页面。然后从您连接到数据库的 PHP 代码中，再次导入该证书，解密您的敏感配置数据，然后使用它连接到数据库。根据您要加密的数据大小，您可能必须使用 AES 封装数据，然后使用 RSA key 加密 AES key 。这对于每个人自己实现来说都变得有点复杂，我想我会为此编写一个库，谢谢你的想法。
除此之外，您似乎拥有相当不错的安全性。
关于php - 保护 PHP Web 服务/相关连接数据的最佳方式？，我们在Stack Overflow上找到一个类似的问题： https://stackoverflow.com/questions/6508618/
很好奇，就使用rubyonrails自动化单元测试而言，你们正在做什么？您是否创建了一个脚本来在cron中运行rake作业并将结果邮寄给您？git中的预提交Hook？只是手动调用？我完全理解测试，但想知道在错误发生之前捕获错误的最佳实践是什么。让我们理所当然地认为测试本身是完美无缺的，并且可以正常工作。下一步是什么以确保他们在正确的时间将可能有害的结果传达给您？ 最佳答案 不确定您到底想听什么，但是有几个级别的自动代码库控制:在处理某项功能时，您可以使用类似autotest的内容获得关于哪些有效，哪些无效的即时反馈。要确保您的提
我正在尝试使用ruby和Savon来使用网络服务。测试服务为http://www.webservicex.net/WS/WSDetails.aspx?WSID=9&CATID=2require'rubygems'require'savon'client=Savon::Client.new"http://www.webservicex.net/stockquote.asmx?WSDL"client.get_quotedo|soap|soap.body={:symbol=>"AAPL"}end返回SOAP异常。检查soap信封，在我看来soap请求没有正确的命名空间。任何人都可以建议我
我想安装一个带有一些身份验证的私有(private)Rubygem服务器。我希望能够使用公共(public)Ubuntu服务器托管内部gem。我读到了http://docs.rubygems.org/read/chapter/18.但是那个没有身份验证-如我所见。然后我读到了https://github.com/cwninja/geminabox.但是当我使用基本身份验证(他们在他们的Wiki中有)时，它会提示从我的服务器获取源。所以。如何制作带有身份验证的私有(private)Rubygem服务器？这是不可能的吗？谢谢。编辑:Geminabox问题。我尝试“捆绑”以安装新的gem..
我试图获取一个长度在1到10之间的字符串，并输出将字符串分解为大小为1、2或3的连续子字符串的所有可能方式。例如:输入:123456将整数分割成单个字符，然后继续查找组合。该代码将返回以下所有数组。[1,2,3,4,5,6][12,3,4,5,6][1,23,4,5,6][1,2,34,5,6][1,2,3,45,6][1,2,3,4,56][12,34,5,6][12,3,45,6][12,3,4,56][1,23,45,6][1,2,34,56][1,23,4,56][12,34,56][123,4,5,6][1,234,5,6][1,2,345,6][1,2,3,456][123
我主要使用Ruby来执行此操作，但到目前为止我的攻击计划如下:使用gemsrdf、rdf-rdfa和rdf-microdata或mida来解析给定任何URI的数据。我认为最好映射到像schema.org这样的统一模式，例如使用这个yaml文件，它试图描述数据词汇表和opengraph到schema.org之间的转换:#SchemaXtoschema.orgconversion#data-vocabularyDV:name:namestreet-address:streetAddressregion:addressRegionlocality:addressLocalityphoto:i
最近，当我启动我的Rails服务器时，我收到了一长串警告。虽然它不影响我的应用程序，但我想知道如何解决这些警告。我的估计是imagemagick以某种方式被调用了两次？当我在警告前后检查我的git日志时。我想知道如何解决这个问题。-bcrypt-ruby(3.1.2)-better_errors(1.0.1)+bcrypt(3.1.7)+bcrypt-ruby(3.1.5)-bcrypt(>=3.1.3)+better_errors(1.1.0)bcrypt和imagemagick有关系吗？/Users/rbchris/.rbenv/versions/2.0.0-p247/lib/ru
在Rails4.0.2中，我使用s3_direct_upload和aws-sdkgems直接为s3存储桶上传文件。在开发环境中它工作正常，但在生产环境中它会抛出如下错误，ActionView::Template::Error(noimplicitconversionofnilintoString)在View中，create_cv_url,:id=>"s3_uploader",:key=>"cv_uploads/{unique_id}/${filename}",:key_starts_with=>"cv_uploads/",:callback_param=>"cv[direct_uplo
有时我需要处理键/值数据。我不喜欢使用数组，因为它们在大小上没有限制(很容易不小心添加超过2个项目，而且您最终需要稍后验证大小)。此外，0和1的索引变成了魔数(MagicNumber)，并且在传达含义方面做得很差(“当我说0时，我的意思是head...”)。散列也不合适，因为可能会不小心添加额外的条目。我写了下面的类来解决这个问题:classPairattr_accessor:head,:taildefinitialize(h,t)@head,@tail=h,tendend它工作得很好并且解决了问题，但我很想知道:Ruby标准库是否已经带有这样一个类？ 最佳
question的一些答案关于redirect_to让我想到了其他一些问题。基本上，我正在使用Rails2.1编写博客应用程序。我一直在尝试自己完成大部分工作(因为我对Rails有所了解)，但在需要时会引用Internet上的教程和引用资料。我设法让一个简单的博客正常运行，然后我尝试添加评论。靠我自己，我设法让它进入了可以从script/console添加评论的阶段，但我无法让表单正常工作。我遵循的其中一个教程建议在帖子Controller中创建一个“评论”操作，以添加评论。我的问题是:这是“标准”方式吗？我的另一个问题的答案之一似乎暗示应该有一个CommentsController参
我想在Ruby中创建一个用于开发目的的极其简单的Web服务器(不，不想使用现成的解决方案)。代码如下:#!/usr/bin/rubyrequire'socket'server=TCPServer.new('127.0.0.1',8080)whileconnection=server.acceptheaders=[]length=0whileline=connection.getsheaders想法是从命令行运行这个脚本，提供另一个脚本，它将在其标准输入上获取请求，并在其标准输出上返回完整的响应。到目前为止一切顺利，但事实证明这真的很脆弱，因为它在第二个请求上中断并出现错误:/usr/b
