主页 / server / 问题 / 1049201
Accepted
master lfc6
Asked: 2021-01-10 07:29:34 +0800 CST

pg_hba.conf 的安全问题

  • 772

我的服务器上有一个 PHP 脚本，需要访问数据库用户才能正常工作。编写 PHP 脚本的人告诉将以下内容添加到 pg_hba.conf ：

host all all 127.0.0.1/32 trust

这会对我造成任何与安全相关的问题吗？根据我的理解，该行的作用是它允许本地托管的脚本在没有密码的情况下连接到 pgsql。这个对吗 ？

该行的存在是否会导致在没有数据库密码的情况下建立到我的数据库的任何远程连接？

database postgresql psql

1 个回答

  1. Best Answer

    是的，除了非常有限的特殊情况之外，您通常应该避免这种配置：

    相信

    无条件允许连接。此方法允许任何可以连接到 PostgreSQL 数据库服务器的人以他们希望的任何 PostgreSQL 用户身份登录，而无需密码或任何其他身份验证。

    [..]

    信任认证仅适用于 TCP/IP 连接，前提是您信任每台机器上的每个用户，这些用户通过指定信任的 pg_hba.conf 行允许连接到服务器。对除来自 localhost (127.0.0.1) 的 TCP/IP 连接之外的任何 TCP/IP 连接使用信任很少是合理的。

    请注意，在不提供任何密码的情况下允许连接可能已经是这种情况，因为许多发行版默认通过 unix 套接字作为连接用户来验证连接。这通常会导致www-data系统www-data用户无需密码即可使用 postgres 用户。检查其余的身份验证配置，看看是否是这种情况。

    建议：提供密码或证书身份验证，不要继续使用该trust选项。

    另请注意，仅将某些内容限制为环回地址通常不足以保证防止外部访问。通过充当非预期代理的其他软件访问环回绑定服务的历史由来已久。

    • 1

相关问题