数据库操作

目标

• 确保源代码中的数据库访问设置信息的安全

原则

• 务必启用密码登录

  在产品环境部署时务必启用密码登录。

• 限制应用服务器使用的数据库账号的登录 IP 地址

  从而使得应用服务器使用的账户仅在应用服务器所在的网络环境有效（如服务器内网环境），以避免由于源码泄露等事故造成的信息安全问题。

示例代码

MongoDB 用户创建示例（参考链接：db.createUser()）：

db.createUser({

user: 'username',

pwd: 'password',

roles: [ 'readWrite', 'dbAdmin' ],

authenticationRestrictions: [

{

clientSource: [ '10.0.0.0/24' ] // 仅允许内网设备访问

}

]

});

MySQL 用户创建示例（参考链接：Specifying Account Names）：

CREATE USER 'username'@'10.0.0.0/24' IDENTIFIED BY 'password';