Що є безпечною альтернативою для використання пароля MySQL у командному рядку?

У нас є сценарій командного рядка PHP для версії бази даних. Цей сценарій ми запускаємо щоразу, коли розробник додає новий патч бази даних.

Сценарій запускає виправлення з командного рядка MySQL:

system('mysql --user=xxx --password=xxx < patch.sql');

Однак тепер MySQL 5.6 видає таке попередження:

Попередження: Використання пароля в інтерфейсі командного рядка може бути небезпечним

Це, очевидно, правда, але може бути або не бути проблемою для користувача.

• Яка тоді безпечна альтернатива?
• Або можна відключити це попередження?

Зауважте, що я не хочу покладатися на зовнішній файл пароля.

В останній версії GA MySQL, тобто версії 5.6 , ви можете це зробити за допомогою команди mysql_config_editor, як описано в http://dev.mysql.com/doc/refman/5.6/uk/mysql-config-editor.html

В основному, це робиться так: зашифруйте свого користувача / передайте облікові дані з псевдонімом хоста, а потім ви використовуєте псевдонім хоста, введіть цю інформацію в конфігураційний файл у вашому домашньому каталозі, а потім, коли вам це потрібно, замість того, щоб робити щось подібне :

mysqldump -uroot --password=mycleartextpass mydatabase > dumpfile.sql

ви замість цього пишете:

mysqldump --login-path=myhostalias mydatabase > dumpfile.sql

тим самим уникаючи введення пароля в якийсь скрипт в явному тексті.

Для цього потрібно спочатку (лише один раз) визначити myhostaliasяк:

mysql_config_editor set --login-path=myhostalias --host=mysqlhost.localnet.com --user=root --password

Ви можете використовувати різні шляхи входу для різних облікових записів та / або хостів, як вам подобається. Дуже гарна ідея, якщо ви запитаєте мене.

Як зауваження, я вважаю, що ця функція НЕ існує в жодній версії нижче 5.6.

Скористайтесь опцією --defaults-fileабо --defaults-extra-file. Ви можете вказати ідентифікатор користувача та пароль у ньому. Він має той же формат, що і /etc/my.cnf.

Читаючи далі, ви говорите, що не хочете покладатися на зовнішній файл пароля, але це єдиний дійсно безпечний спосіб. Все, що залишиться, залишить сліди в технологічній таблиці чи в чомусь іншому. Ви навіть можете покласти файл пароля в контроль версій, якщо цього дуже хочете. Зробіть це 600 (або 400) і читається тільки mysql або користувачем, під яким він працює.

У вас є 4 варіанти на http://dev.mysql.com/doc/refman/5.1/uk/password-security-user.html

• У командному рядку скористайтесь опцією -pyour_passабо--password=your_pass
• Використовуйте -pабо --passwordпараметр у командному рядку без вказаного значення пароля. У цьому випадку клієнтська програма інтерактивно вимагає пароль:
• Збережіть свій пароль у файлі опцій.
• Зберігайте свій пароль у MYSQL_PWDзмінній оточення

Для ваших потреб це MYSQL_PWDможе бути варіант, але це не більш безпечно. Дійсно, вам слід породжувати інтерактивний процес --passwordта інтерактивно подавати пароль, але це досить складний варіант вирішення цієї проблеми.

Якщо ваш сценарій PHP вже має відкрите підключення до бази даних, чому б вам просто mysqli_multi_query()не імпортувати файл .sql? Якщо синтаксис .sql-файла дійсний, звичайно ...