PHP et MySQL - Comment éviter mot de passe dans le code source? [dupliquer]

la façon la plus simple est, comme vous l'avez dit, d'utiliser un fichier de configuration.

beaucoup de cadres utilisent ceci ( Zend , CakePHP , Kohana , etc) et c'est la manière la plus commune de faire les choses (même dans un environnement Non-PHP tel que ASP.NET avec ses fichiers web.config ). Cela vous permet également de copier les valeurs de configuration de l'environnement à l'environnement en copiant simplement les fichiers pour le site, qui est un avantage par rapport aux variables d'environnement de configuration du serveur (qui peuvent très rapidement être perdues et oubliées).

vous ne devriez pas avoir à vous soucier de la dissimulation du mot de passe puisque ce n'est pas un fichier accessible dans le monde entier, il ne devrait certainement pas être accessible sur le web. Ce que je veux dire par là, c'est que vous voulez soit a) dire à votre serveur web de ne pas servir votre fichier de configuration ( IIS fait déjà cela avec web.config fichiers et sert un statut HTTP 404.8 à la place ou B) le déplacer hors de votre répertoire web. Si quelqu'un peut voir votre fichier de configuration, c'est pire que de l'avoir dans votre code source.

ce sera aussi une bonne idée d'avoir une version de base (vide / par défaut) du fichier de configuration, et de le séparer par environnement, afin que vous puissiez avoir un fichier de configuration différent pour les plateformes de production, de développement et de test.

une variable d'environnement est la plus une façon courante de différencier ces environnements, quelque chose comme le code ci-dessous:

// Check if it's been set by the web server
if (!empty($_ENV['ENVIRONMENT'])) {
    // Copy from web server to PHP constant
    define('ENVIRONMENT', $_ENV['ENVIRONMENT']);
}

if (!defined('ENVIRONMENT')) {
    // Default to development
    define('ENVIRONMENT', 'development');
}

// Load in default configuration values
require_once 'config.default.php';

// Load in the overridden configuration file for this environment
require_once 'config.' . ENVIRONMENT . '.php';

une autre façon assez courante est d'utiliser un fichier de configuration XML et de ne le lire que dans les valeurs dont vous avez besoin comme approprié (stockage d'une copie mise en cache du fichier de configuration en mémoire). Cela peut très facilement être limité à charger seulement dans certaines valeurs, plutôt que de permettre l'inclusion arbitraire de fichiers PHP et est globalement une meilleure solution à mon avis, mais le ci-dessus vous devriez commencer dans la bonne direction.

vous voudrez probablement que votre VCS ignore le fichier. D'un autre côté, vous pourriez vouloir qu'un squelette du fichier, ou un avec des valeurs par défaut raisonnables (ce dernier ne s'applique pas aux données de connexion, bien sûr), soit contrôlé en version. Une façon courante de traiter cela est d'avoir un fichier de configuration de modèle enregistré, et la procédure d'installation copie ce fichier à l'emplacement de la configuration réelle fichier, où il est personnalisé. Cela peut être manuel ou automatisé, processus.

_{(bien que quelque peu sans rapport avec la question principale, l'introduction d'une constante pour votre environnement vous permet de faire d'autres choses cool comme reporter à une mise en œuvre de courrier faux au lieu d'un live SMTP un, mais bien sûr, cela pourrait également être fait avec un fichier de configuration)}