Какая безопасная альтернатива использованию пароля MySQL в командной строке?

У нас есть скрипт командной строки PHP для создания версии базы данных. Мы запускаем этот скрипт всякий раз, когда разработчик добавляет новый патч базы данных.

Скрипт запускает патч с командной строкой MySQL:

system('mysql --user=xxx --password=xxx < patch.sql');

Однако MySQL 5.6 теперь выдает следующее предупреждение:

Предупреждение: использование пароля в интерфейсе командной строки может быть небезопасным

Что, очевидно, верно, но может или не может быть проблемой для пользователя.

• Какая безопасная альтернатива тогда?
• Или же можно отключить это предупреждение?

Обратите внимание, что я не хочу полагаться на внешний файл паролей.

В последней версии GA MySQL, т.е. версии 5.6 , вы можете сделать это с помощью команды mysql_config_editor, как описано в http://dev.mysql.com/doc/refman/5.6/en/mysql-config-editor.html.

В основном это то, что он делает: шифрует ваши учетные данные пользователя / пароля с помощью псевдонима хоста, а затем вы используете псевдоним хоста, помещаете эту информацию в файл конфигурации в вашем домашнем каталоге, а затем, когда вам это нужно, вместо того, чтобы делать что-то вроде :

mysqldump -uroot --password=mycleartextpass mydatabase > dumpfile.sql

вы вместо этого пишете:

mysqldump --login-path=myhostalias mydatabase > dumpfile.sql

тем самым избегая помещения вашего пароля в какой-либо скрипт в открытом виде.

Чтобы это работало, вы должны сначала (только один раз) определить myhostaliasкак:

mysql_config_editor set --login-path=myhostalias --host=mysqlhost.localnet.com --user=root --password

Вы можете использовать разные пути входа в систему для разных учетных записей и / или хостов, как вам нравится. Довольно хорошая идея, если вы спросите меня.

Как примечание, я считаю, эта функция действительно НЕ существует в любой версии ниже 5.6.

Используйте опцию --defaults-fileили --defaults-extra-file. Вы можете указать в нем идентификатор пользователя и пароль. Он имеет тот же формат, что и /etc/my.cnf.

Читая дальше, вы говорите, что не хотите полагаться на внешний файл паролей, но это единственный действительно безопасный способ. Все остальное оставит следы в таблице процессов или что-то в этом роде. Вы даже можете поместить файл паролей в систему контроля версий, если вы действительно этого хотите. Сделайте его 600 (или 400) доступным для чтения только mysql или пользователем, под которым он работает.

У вас есть 4 варианта на http://dev.mysql.com/doc/refman/5.1/ru/password-security-user.html

• Используйте параметр -pyour_passили --password=your_passв командной строке
• Используйте параметр -pили --passwordв командной строке без указания пароля. В этом случае клиентская программа запрашивает пароль в интерактивном режиме:
• Сохраните ваш пароль в файле опций.
• Сохраните ваш пароль в MYSQL_PWDпеременной среды

Для ваших нужд MYSQL_PWDможет быть вариант, но это не более безопасно. На самом деле вы должны создать интерактивный процесс --passwordи отправить пароль в интерактивном режиме, но это довольно сложное решение этой проблемы.

Если у вашего PHP-скрипта уже есть открытое соединение с базой данных, почему бы вам просто не использовать mysqli_multi_query()для импорта файл .sql? Если синтаксис файла .sql действителен, конечно ...