Drupal安装的公共存储库:什么安全风险？

Question

我把一个Drupal项目放在一个开源托管站点上。有什么文件我不能放在那里，这样我才不会损害我的网站的安全？

我想到了各种各样的settings.php。而且很明显，数据库本身不会在存储库中。还有什么危险的吗？

我在查Drupal 6号。

另外，最好以某种方式将数据库本身置于版本控制之下。知道怎么做吗？

UPDATE：如果我要转储db数据、加密它并对其进行版本化，该怎么办？

Answer 1

确保不提交用户上传文件。我不会上传你的数据库转储，即使它是加密的。我也会小心.htaccess文件。

提交settings.php将是您所能做的最糟糕的事情，您可以尝试在文件中为mysql用户/密码做一个查找，以确保它不会被复制。

如果Drupal处于版本控制之下，您可以将其与Drupal的repo区分开来，以查看哪些文件已经更改。类似于TortiseSVN的东西使得这个过程非常容易。

我也会小心缓存文件，但据我所知，Drupal只有一个基于sql的缓存。

对于SQL版本控制，最常见的做法是使用mysqldump。另一种方法是使用带有脚本版本控制策略的PHP实现。转储任何cache_*表、Variable表，当然还有user表都是不安全的。

Answer 2

插件将是我唯一能隐藏的东西。原因是插件有自己的安全漏洞，并且向世界宣布你正在使用的版本可能会让你被黑。不过，Drupal本身相当安全。