巧用MySQL加密函數(shù)對Web網(wǎng)站敏感數(shù)據(jù)進行保護
以下的文章主要是介紹正確利用MySQL加密函數(shù)來對Web網(wǎng)站敏感數(shù)據(jù)進行保護，我在很多的網(wǎng)站都有看過關(guān)于其實際操作步驟的介紹，但是實用性并不是很強，所以我今天與大家分享的是我在實際操作中的小小經(jīng)驗。
如果您正在運行使用MYSQL的Web應(yīng)用程序，那么它把密碼或者其他敏感信息保存在應(yīng)用程序里的機會就很大。保護這些數(shù)據(jù)免受黑客或者窺探者的獲取是一個令人關(guān)注的重要問題，因為您既不能讓未經(jīng)授權(quán)的人員使用或者破壞應(yīng)用程序，同時還要保證您的競爭優(yōu)勢。幸運的是，MySQL帶有很多設(shè)計用來提供這種類型安全的MySQL加密函數(shù)。本文概述了其中的一些函數(shù)，并說明了如何使用它們，以及它們能夠提供的不同級別的安全。
雙向加密
就讓我們從最簡單的加密開始：雙向加密。在這里，一段數(shù)據(jù)通過一個密鑰被加密，只能夠由知道這個密鑰的人來解密。MySQL有兩個函數(shù)來支持這種類型的加密，分別叫做ENCODE()和DECODE()。下面是一個簡單的實例：
- mysql> INSERT INTO users (username, password) VALUES ('joe', ENCODE('guessme', 'abracadabra'));
- Query OK, 1 row affected (0.14 sec)
其中，Joe的密碼是guessme，它通過密鑰abracadabra被加密。要注意的是，加密完的結(jié)果是一個二進制字符串，如下所示：
- mysql> SELECT * FROM users WHERE username='joe';
- +----------+----------+
- | username | password |
- +----------+----------+
- | joe | ¡?i??!? |
- +----------+----------+
- 1 row in set (0.02 sec)
abracadabra這個密鑰對于恢復(fù)到原始的字符串至關(guān)重要。這個密鑰必須被傳遞給DECODE()函數(shù)，以獲得原始的、未加密的密碼。下面就是它的使用方法：
- mysql> SELECT DECODE(password, 'abracadabra') FROM users WHERE username='joe';
- +---------------------------------+
- | DECODE(password, 'abracadabra') |
- +---------------------------------+
- | guessme |
- +---------------------------------+
- 1 row in set (0.00 sec)
應(yīng)該很容易就看到它在Web應(yīng)用程序里是如何運行的——在驗證用戶登錄的時候，DECODE()會用網(wǎng)站專用的密鑰解開保存在數(shù)據(jù)庫里的密碼，并和用戶輸入的內(nèi)容進行對比。假設(shè)您把PHP用作自己的腳本語言，那么可以像下面這樣進行查詢：
- <?php
- $query = "SELECT COUNT(*) FROM users WHERE username='$inputUser' AND DECODE(password, 'abracadabra') = '$inputPass'";?>
提示：雖然ENCODE()和DECODE()這兩個函數(shù)能夠滿足大多數(shù)的要求，但是有的時候您希望使用強度更高的加密手段。在這種情況下，您可以使用AES_ENCRYPT()和AES_DECRYPT()函數(shù)，它們的工作方式是相同的，但是加密強度更高。
單向加密
單向加密與雙向加密不同，一旦數(shù)據(jù)被加密就沒有辦法顛倒這一過程。因此密碼的驗證包括對用戶輸入內(nèi)容的重新MySQL加密函數(shù)，并將它與保存的密文進行比對，看是否匹配。一種簡單的單向加密方式是MD5校驗碼。MySQL的MD5()函數(shù)會為您的數(shù)據(jù)創(chuàng)建一個“指紋”并將它保存起來，供驗證測試使用。下面就是如何使用它的一個簡單例子：
- mysql> INSERT INTO users (username, password) VALUES ('joe', MD5('guessme'));
- Query OK, 1 row affected (0.00 sec)
- mysql> SELECT * FROM users WHERE username='joe';
- +----------+----------------------------------+
- | username | password |
- +----------+----------------------------------+
- | joe | 81a58e89df1f34c5487568e17327a219 |
- +----------+----------------------------------+
- 1 row in set (0.02 sec)
現(xiàn)在您可以測試用戶輸入的內(nèi)容是否與已經(jīng)保存的密碼匹配，方法是取得用戶輸入密碼的MD5校驗碼，并將它與已經(jīng)保存的密碼進行比對，就像下面這樣：
- mysql> SELECT COUNT(*) FROM users WHERE username='joe' AND password=MD5('guessme');
- +----------+
- | COUNT(*) |
- +----------+
- | 1 |
- +----------+
- 1 row in set (0.00 sec)
或者，您考慮一下使用ENCRYPT()函數(shù)，它使用系統(tǒng)底層的crypt()系統(tǒng)調(diào)用來完成加密。這個函數(shù)有兩個參數(shù)：一個是要被加密的字符串，另一個是雙（或者多）字符的“salt”。它然后會用salt加密字符串；這個salt然后可以被用來再次加密用戶輸入的內(nèi)容，并將它與先前加密的字符串進行比對。下面一個例子說明了如何使用它：
- mysql> INSERT INTO users (username, password) VALUES ('joe', ENCRYPT('guessme', 'ab'));
- Query OK, 1 row affected (0.00 sec)
- mysql> SELECT * FROM users WHERE username='joe';
- +----------+---------------+
- | username | password |
- +----------+---------------+
- | joe | ab/G8gtZdMwak |
- +----------+---------------+
- 1 row in set (0.00 sec)
結(jié)果是
- mysql> SELECT COUNT(*) FROM users WHERE username='joe' AND password=ENCRYPT('guessme', 'ab');
- +----------+
- | COUNT(*) |
- +----------+
- | 1 |
- +----------+
- 1 row in set (0.00 sec)
提示：ENCRYPT()只能用在*NIX系統(tǒng)上，因為它需要用到底層的crypt()庫。
幸運的是，上面的例子說明了能夠如何利用MySQL對您的數(shù)據(jù)進行單向和雙向的加密，并告訴了您一些關(guān)于如何保護數(shù)據(jù)庫和其他敏感數(shù)據(jù)庫信息安全的理念。祝您編程愉快！
以上的相關(guān)內(nèi)容就是對正確利用MySQL加密函數(shù)保護Web網(wǎng)站敏感數(shù)據(jù)的介紹，望你能有所收獲。
原文標(biāo)題：如何利用MySQL加密函數(shù)保護Web網(wǎng)站敏感數(shù)據(jù)
連接：http://www.cnblogs.com/kitybao/archive/2010/04/02/mysqljiami.html
【編輯推薦】
