为什么连接失败时 PDO 会打印我的密码？

Question

我有一个简单的网站，我使用 PDO 与 MySQL 服务器建立连接。

$dbh = new PDO('mysql:host=localhost;dbname=DB;port=3306',
               'USER',
               'SECRET', 
               array(PDO::MYSQL_ATTR_INIT_COMMAND => "SET NAMES utf8"));

我的网站上有一些流量，并且已达到服务器的连接限制，并且网站抛出此错误，其中包含我的明文密码！

致命错误：未捕获的异常 带有消息的“PDOException” 'SQLSTATE[08004] [1040] 太多 连接'在 /home/domain/html/index.php:xxx 堆栈跟踪：#0 /home/domain/html/index.php(64): PDO->__construct('mysql:host=loca...', “用户”、“秘密”、数组）#1 {main} 投入 /home/domain/html/index.php 上 第64行

具有讽刺意味的是，出于安全原因，我切换到了 PDO，所以这确实让我感到震惊，因为在大多数站点上使用简单的 HTTP 泛洪很容易引发这个确切的错误。

我现在已将连接包装在 try/catch 块中，但我仍然认为这是灾难性的！

我是 PDO 新手，所以我的问题是：我必须做什么才能确保安全？如何以安全的方式建立连接？是否还有其他类似的已知安全漏洞需要我注意？

Answer 1

无论如何，您应该在 PHP.ini 中设置 display_errors = off 以避免此问题。除了 PDO 之外，揭示此类详细信息的错误还来自许多地方。

是的，您还应该将其放在 try/catch 块中。

您还可以 $pdo->setAttribute(PDO::ERRMODE_SILENT)，但是您需要手动检查错误代码，而不是使用 try/catch 块。请参阅http://php.net/manual/en/pdo.setattribute.php 了解更多误差常数。

Answer 2

一个简单的解决方法是捕获 PDO 构造函数抛出的 PDOException：

try {
    $dbh  =  new PDO('mysql:host=localhost;dbname=DB;port=3306', 'USER',
    'SECRET', array(PDO::MYSQL_ATTR_INIT_COMMAND => "SET NAMES utf8"));
} catch (PDOException $e) {
    throw new Exception($e->getMessage());
}

Answer 3

好吧，这让我咯咯笑了一点。错误报告的使用是为了调试目的，它可以让您快速找到并修复问题。

当您处于实时环境中时，您的服务器应该配置为仅用于内部日志记录，而不是直接输出，因此基本上您需要关闭 php.ini 中的错误输出。

display_errors = Off

但是，当您处于测试环境中时，该堆栈只是一个可以帮助您的工具并且是可配置的。

当实时环境中发生错误时，它们会被记录下来，因此您应该始终检查日志文件，然后进行相应的修复。

人们可能会指定您可以管理 PHP 应用程序中的错误，但根据个人喜好，我认为这是错误的方法。为您的 Web 服务器和 MySQL / SQL Server 配置 INI 和配置文件将导致更精确的管理。

如果您的应用程序是公共应用程序，那么处理应用程序内的错误也是一个好主意，因为很大一部分客户端可能位于共享托管上并且无法完全访问服务器配置。

Answer 4

我们使用编码的用户名和密码，并在 PDO 构造函数中对其进行解码。然后我们捕获 PDOException 并抛出一个新的 PDOException 以及旧异常的消息，以便跟踪将仅显示编码的用户名和密码。

一个好的 PHP 加密库是 defuse/php-encryption。

示例代码：

<?php
class myPDOWrapper extends PDO
    {

        public function __construct(string $dns, string $encodedUser, string $encodedPassword)
        {
            try {
                parent::__construct($dns, $this->decodeFunction($encodedUser), $this->decodeFunction($encodedPassword),
                    [
                        PDO::ATTR_ERRMODE => PDO::ERRMODE_EXCEPTION,
                    ]
                );
            }
            catch (PDOException $exception) {
                throw new PDOException($exception->getMessage());
            }
        }

        private function decodeFunction(string $encoded): string
        {
            return \Defuse\Crypto\Crypto::decrypt($encoded, $this->decodeKey());
        }

        private function decodeKey(): \Defuse\Crypto\Key
        {
            static $key = null;

            if(null === $key) {
                $key = \Defuse\Crypto\Key::loadFromAsciiSafeString(getenv('MY_PDO_DECODE_KEY'));
            }

            return $key;
        }
    }