PHP应用安全连接Oracle数据库：如何规避明文密码？

针对PHP应用连接Oracle数据库时的明文密码问题，以下是几种实用的解决方案：

一、优化现有配置文件方案 #

你当前将数据库凭证放在单独的configDatabase.php中，这已经比直接写入业务代码更安全，还可以进一步优化：

• 将configDatabase.php放置在Web服务器根目录之外（比如Apache的htdocs目录外、Nginx的html目录外），避免因服务器配置失误导致文件内容被直接访问。
• 代码中使用绝对路径引入配置文件，比如：

  require_once('/var/secure-db-config/configDatabase.php');
  

二、使用Oracle Wallet（推荐） #

Oracle Wallet是专门存储数据库凭证的安全容器，无需在代码中暴露任何密码：

1. 创建Wallet：在服务器上执行命令（需安装Oracle客户端工具）：

   mkstore -wrl /path/to/your/wallet -create
   

   按照提示设置Wallet的管理密码。
2. 添加数据库凭证：

   mkstore -wrl /path/to/your/wallet -createCredential your_db_service username password
   

3. 配置sqlnet.ora：在Oracle客户端的network/admin目录下修改sqlnet.ora，添加：

   WALLET_LOCATION = (SOURCE = (METHOD = FILE)(METHOD_DATA = (DIRECTORY = /path/to/your/wallet)))
   SQLNET.WALLET_OVERRIDE = TRUE
   

4. PHP连接代码：无需传入用户名和密码，Oracle会自动从Wallet中读取凭证：

   $conn = oci_connect('', '', 'your_db_service');
   if ($conn) {
       echo "Connected";
   } else {
       trigger_error(htmlentities(oci_error()['message'], ENT_QUOTES), E_USER_ERROR);
   }
   

三、利用系统环境变量 #

将数据库凭证存储在服务器环境变量中，代码通过读取环境变量获取：

1. 设置环境变量：
   • Linux系统：可在/etc/profile或Apache/Nginx的配置文件中添加（以Apache为例，在httpd.conf中）：

     SetEnv ORA_USER "your_username"
     SetEnv ORA_PASS "your_password"
     SetEnv ORA_DB "your_db_service"
     

   • 重启服务器使配置生效。
2. PHP连接代码：

   $login = getenv('ORA_USER');
   $password = getenv('ORA_PASS');
   $db = getenv('ORA_DB');
   $conn = oci_connect($login, $password, $db);
   

四、加密配置文件中的密码 #

对配置文件里的密码进行加密，业务代码中解密后使用：

1. 加密密码：使用openssl加密明文密码（密钥需妥善保存，建议用环境变量存储）：

   openssl enc -aes-256-cbc -salt -in plain_password.txt -out encrypted_password.bin
   

2. PHP解密并连接：

   // 从环境变量获取加密密钥
   $encryptionKey = getenv('DB_ENCRYPT_KEY');
   // 读取加密后的密码文件
   $encryptedData = file_get_contents('/path/to/encrypted_password.bin');
   // 提取IV（初始化向量）
   $ivLength = openssl_cipher_iv_length('aes-256-cbc');
   $iv = substr($encryptedData, 0, $ivLength);
   // 解密密码
   $password = openssl_decrypt(substr($encryptedData, $ivLength), 'aes-256-cbc', $encryptionKey, OPENSSL_RAW_DATA, $iv);
   // 连接数据库
   $conn = oci_connect(ORA_CON_UN, $password, ORA_CON_DB);
   

内容的提问来源于stack exchange，提问作者vh-dev-web