制限付きアクセス許可を使用して安全なMSSQLログインを作成する

Question

PHPを使用してWebフォームを構築しました。このフォームは、ユーザーの基本的な詳細を取得してMSSQLテーブルに挿入します。このWebフォームは、社外のWebサイトで使用され、さまざまな人々によって使用されます。

これは私がSQL Server認証を使用してログインを作成する必要があると仮定した場合の正しいものですか？

データベースの新しいログインとユーザーを設定するためのクイックスクリプトを作成し、WebフォームからデータをINSERTする機能のみを提供しました。

CREATE LOGIN TESTWeb WITH PASSWORD = 'monkey' 
USE companydb 
CREATE USER memaw FOR LOGIN TESTWeb 
GRANT INSERT TO memaw 
Go 

明らかにこれらは詳細ではありません。 :)

これは十分安全なのでしょうか？私が理解しているのは、ログインTESTWebには、データベース 'companydb'にのみデータを挿入する機能しかないということです。

また、私は、PHPスクリプトを使用してMSSQLに接続することの意味とそれがどれほど安全であるかについて少し不明瞭です。

<?php 

$server = 'site_man'; 
$user = 'TESTWeb'; 
$pass = 'monkey'; 

$con = mssql_connect($server, $user, $pass); 

//rest of script 
?> 

これは、PHPスクリプトの最上位にあるか、この詳細を別の場所に保存してINCLUDEを使用して呼び出す必要がありますか？

ありがとうございます！

Answer 1

PHPファイルはサーバー側で実行されます。これは、視聴者がコードを見ることができないことを意味し、制限が厳しいアカウントであっても、PHPは非常に安全です。ただし、XSS（クロスサイトスクリプティング）から自分を保護する必要があります。

http://www.practicalecommerce.com/articles/509-Protect-Data-From-Cross-Site-Scripting-XSS-Attacks

あなたがPHPスクリプトの上にデータを置くか、別のPHPスクリプトでそれを含めるかどうかは関係ありません。ただし、複数の異なるスクリプトでデータベースに接続する場合は、1つのファイルを変更するだけで、詳細を変更する必要がある場合など、簡単に変更できます。