如何在web应用程序中安全地处理ftp密码

Question

我正在编写一个脚本(PHP+MySQL)，它可以让你通过FTP编辑文件。我试图做的是，当用户登录并连接到服务器时，我想记住ftp密码，这样它就可以透明地重新连接到服务器(例如，浏览文件时)。出于安全考虑，我不想在数据库中存储原始密码。我正在考虑根据数据库中的连接id将密码存储在cookie中。但这听起来也不够安全。如何在数据库中存储临时密码条目？

有什么办法解决这个问题吗？

Answer 1

你可以试试asymmetric key system。

1. 生成公共/私人对
2. 将私钥交给用户
3. 使用公钥加密密码并存储在数据库中
4. 每次用户执行操作时，他们都会提供您给他们的私钥
5. 你用私钥解密密码，做动作，然后销毁内存中的私钥

应该比仅仅依靠服务器自己加密/解密更安全。这不是100%万无一失(如果他们根你的服务器，他们可以嗅探私钥)，但这是一个防止片面攻击的好方法。至少，任何旧密码不会受到攻击，因为私钥将会丢失。

编辑：正如萨诺德所指出的，你也可以用symmetric key system来做这件事。