ip白名单或仅在本地运行管理系统

Question

这可能是一个愚蠢的问题，但我需要探索每一个选项，在这个问题上，我不能从谷歌那里获得太多信息。希望这不是太多的对话。

我正在考虑的选择，以确保我的php/mysql为基础的管理系统。我考虑过的一件事是使用.htacess设置ip白名单，并且只允许我的客户端访问：

allow from xx.xx.xx.xxx

但我想知道是否另一种方法可能是完全不在线安装管理系统。是否可以在本地运行admin php (使用wamp)，然后将其连接到实时数据库？

这是不是很疯狂？

Answer 1

我可以假设您的应用程序不是托管在您的客户端上的吗？因为如果是，那么您可以简单地将实际应用程序放在面向internet的DMZ中，将管理应用程序放在intranet中，而不需要从internet访问。

如果应用程序不在客户机上托管，那么基于IP的方法看起来很好。但是，您不应该仅仅依靠IP保护作为一种身份验证机制，您还应该使用要求用户名和密码的登录表单来保护管理应用程序。如果你想非常小心，你可以考虑使用双因素身份验证(token或Google Authenticator)。

正如jraede已经指出的那样，使用远程数据库的本地安装维护起来将是一件痛苦的事情。另外(大多数情况下)远程数据库意味着您需要能够从internet访问该数据库。如果你能避免的话，这应该是安全上的禁忌。