Passwort & Sicherheit

[Justin]

Hallo,
Wenn ich im php dokument zur Datenbank connecte und dabei
die admin-Daten benutze, hat ein surfer irgendwie die möglichkeit
diese Daten(Name und Passw.) einzusehen?
Und wieso geht der admin-login nicht mehr wenn ich den user
pma (kein passwort, einziger Zugriff=shutdown) lösche?
Sollte ich ein extra login für die surfer erstellen?
Und wenn ich einen Login in die Seite einbaue, zb für den admin,
kommt da auch keiner ans pw, wenn ich im php code dieses stehen
habe?

[Mike©]

Moin Justin,

Wenn ich im php dokument zur Datenbank connecte und dabei
die admin-Daten benutze, hat ein surfer irgendwie die möglichkeit
diese Daten(Name und Passw.) einzusehen?

wen Deine Frage lautet, ob jemand das im PHP Script hinterlegte Passwort und Login sehen kann, dann laute die Antwort - Nein kann er/sie nicht.

Den Rest dieses Postings solltest Du vielleicht nochmal verständlich formatieren.

Und wieso geht der admin-login nicht mehr wenn ich den user
pma (kein passwort, einziger Zugriff=shutdown) lösche?
Sollte ich ein extra login für die surfer erstellen?
Und wenn ich einen Login in die Seite einbaue, zb für den admin,
kommt da auch keiner ans pw, wenn ich im php code dieses stehen
habe?

regds
Mike©

[Justin]

Den Rest dieses Postings solltest Du vielleicht nochmal verständlich formatieren.

Ok, hier nochmal genauer: im phpmyadmin von xampp da ist von
Anfang an der user root(mit vollem Zugriff) und
der user pma(darf nur shutdown machen) vorinstalliert.
Ich habe dann den root mit einem Passwort versehen und
den pma gelöscht, da ich dachte den nicht zu benötigen.
Dann ging allerdings der login mit root nicht mehr,
es kam die Meldung, dass der login bon pma fehlgeschalgen wäre
oder so etwas, obwohl ich ja mich mit root einloggen wollte...
Dazu würde ich gern wissen was es mit dem pma auf sich hat.
Dann wollte ich noch wissen ob der Zugriff in der PHP datei auf
die Datenbank mit einem user durchgeführt wird, der nur eingeschränkte rechte
hat, aber wenn der surfer den account + passw eh nicht sieht ist das wohl egal.
Das mit dem login, meinte ich so, wie es zB mit Javascript wäre,
da steht ja zB dann im Quelltext
if password="megacoolespasswort", da man aber wie du sagst
nicht vom php code sieht oder sich holen kann, sollte
da auch keiner an das pw oder so kommen.

[Johannes Zeller]

Hallo Justin,

Dann wollte ich noch wissen ob der Zugriff in der PHP datei auf
die Datenbank mit einem user durchgeführt wird, der nur eingeschränkte rechte
hat, aber wenn der surfer den account + passw eh nicht sieht ist das wohl egal.

Du solltest, neben dem root-Benutzer aus Sicherheitsgründen einen weiteren MySQL-Benutzer mit eingeschränkten Rechten erstellen, den das PHP-Script zur Verbindung zur Datenbank benutzt.

Das mit dem login, meinte ich so, wie es zB mit Javascript wäre,
da steht ja zB dann im Quelltext
if password="megacoolespasswort", da man aber wie du sagst
nicht vom php code sieht oder sich holen kann, sollte
da auch keiner an das pw oder so kommen.

Redest du von PHP oder von JavaScript? Eine mit JavaScript realisierter Login ist konzeptionell bedingt unsicher.

Schöne Grüße,

Johannes

[Johannes Zeller]

Hallo Mike,

Wenn ich im php dokument zur Datenbank connecte und dabei
die admin-Daten benutze, hat ein surfer irgendwie die möglichkeit
diese Daten(Name und Passw.) einzusehen?

wen Deine Frage lautet, ob jemand das im PHP Script hinterlegte Passwort und Login sehen kann, dann laute die Antwort - Nein kann er/sie nicht.

Jein. Sofern der Server richtig konfiguriert ist, stimmt das. Sollte aber mal ein Konfigurationsfehler vorliegen, sodass PHP-Dateien nicht geparst, sondern direkt ausgeliefert werden, kann der Besucher sie auch lesen. Es empfiehlt sich daher, sicherheitsrelevante Daten, wie Passwörter in einer Datei außerhalb des Document-Roots abzulegen und diese dann im PHP-Script zu includen.

Schöne Grüße,

Johannes