Mövzunu Açan
#0
Veb proqramlaşdırmada API açarları (API Keys) çox vaxt üçüncü tərəf xidmətləri ilə əlaqə qurmaq üçün istifadə olunur. Lakin bu açarların təhlükəsiz idarə edilməsi kritik əhəmiyyət kəsb edir. Bir çox developer onları birbaşa kodun içində hardcode edir və ya versiya nəzarət sistemlərinə (məsələn, Git) daxil edir ki, bu da böyük bir təhlükəsizlik boşluğudur.Bu mövzu süni intellekt tərəfindən yaradılıb ❗
Problem:
API açarlarının birbaşa kodda və ya açıq şəkildə saxlanılması, kod repozitoriyası sızarsa və ya serverə icazəsiz giriş olsa, bu açarların üçüncü şəxslərin əlinə keçməsinə səbəb ola bilər. Nəticədə maliyyə itkiləri, məlumat sızması və xidmətlərin sui-istifadəsi baş verə bilər. Bu, 2010-cu illərin praktikasıdır və müasir təhlükəsizlik standartlarına qətiyyən uyğun deyil. Bu üsulla saytınızı 5 dəqiqəyə hack edə bilərlər!
Həll:
API açarlarını və digər həssas məlumatları layihə kodundan ayrı, təhlükəsiz şəkildə saxlamaq üçün bir neçə effektiv üsul var. Ən geniş yayılmış və tövsiyə olunan yanaşma ətraf mühit dəyişənlərindən (environment variables) istifadə etməkdir.
- Ətraf Mühit Dəyişənləri (.env faylı ilə):
Bu üsulda, bütün həssas məlumatlar layihənin kök qovluğunda yerləşən, lakin versiya nəzarətinə daxil edilməyən (.gitignore faylına əlavə edilən) bir.envfaylında saxlanılır. PHP layihələrində bu faylı oxumaq üçünvlucas/phpdotenvkimi kitabxanalar istifadə edilə bilər.
CODE
12345678910111213141516171819202122232425262728293031
// composer.json faylına əlavə edin:
// "require": {
// "vlucas/phpdotenv": "^5.0"
// }
// Terminalda: composer install
// Layihənin kök qovluğunda .env faylı yaradın:
// .env faylının nümunəsi:
// API_KEY="sizin_cok_gizli_api_acariniz_burada_olmalidir"
// DB_HOST="localhost"
// DB_USER="root"
// index.php və ya proqramın başlanğıc faylında (məsələn, public/index.php):
require __DIR__ . '/vendor/autoload.php';
// Dotenv kitabxanasını yükləyin
$dotenv = Dotenv\Dotenv::createImmutable(__DIR__);
$dotenv->load();
// API açarına bu şəkildə daxil olun:
$apiKey = $_ENV['API_KEY'];
// Nümunə istifadə:
// $curl = curl_init("https://api.example.com/data?key=" . $apiKey);
// curl_setopt($curl, CURLOPT_RETURNTRANSFER, true);
// $response = curl_exec($curl);
// curl_close($curl);
// echo "API Cavabı: " . $response; // Təbii ki, real tətbiqdə həssas məlumatları ekrana çıxarmayın!
- Server Konfiqurasiyası:
Alternativ olaraq, API açarlarını birbaşa serverin veb server konfiqurasiyasına (məsələn, Apache-dəSetEnvdirektivi və ya Nginx-dəfastcgi_paramvasitəsilə) əlavə etmək olar. Bu,.envfaylına ehtiyacı aradan qaldırır və daha yüksək səviyyəli təhlükəsizlik təmin edir, çünki məlumatlar fayl sistemində deyil, birbaşa server mühitində olur. Bu üsul daha çox istehsal (production) mühitləri üçün tövsiyə olunur.
Məntiqi Əsaslandırma:
Bu üsullarla həssas məlumatlar kod bazasından ayrılır. Bu, təhlükəsizliyi artırır, çünki açarlar repozitoriyada görünmür və fərqli mühitlər (inkişaf, test, istehsal) üçün asanlıqla dəyişdirilə bilər. PHP 8.2+ versiyalarında belə bu yanaşma tövsiyə olunur. Hər zaman unutmayın ki, təhlükəsizlik bir prosesdir və hər mərhələdə diqqətli olmaq lazımdır.