Самый простой способ параметризации/настройки php-приложения|сериализации данных, удобных для человека

Ваша спецификация относительно защиты от взлома кода третьей стороной не может быть достигнута, если третья сторона имеет доступ к коду.

Все решения, представленные до сих пор, имеют ограничения, которые, на мой взгляд, нарушают более важные элементы вашей спецификации - гибкость и ремонтопригодность.

• Решение для базы данных может отделять параметры конфигурации от кода, но вы теряете гибкость формата (например, комментарии, сложные данные типы) и повышают сложность, теряя ремонтопригодность. Кроме того, если у разработчика есть доступ к коду, они могут просто перезаписать параметры конфигурации.
• Решение для кодирования - это включает в себя JSON, сериализацию и INI - те же проблемы, что и решение для базы данных. Ограничивается форматом кодировки. Добавлен уровень сложности. Разработчик с доступом к проекту все еще может перезаписать параметры конфигурации.
• База данных + Решение для кодирования содержит все те же проблемы.

Я повторяю - если вы можете получить доступ к коду, вы можете взломать код. Конфигурационный файл PHP - это очень распространенный способ настройки вашего проекта. Если вы не доверяете разработчикам, не предоставляйте им доступ. Не запутывайте код и не жертвуйте ремонтопригодностью.

ОБНОВЛЕНИЕ, КАСАЮЩЕЕСЯ КОНФИГУРАЦИОННОГО ФАЙЛА PHP

Если вы запрашиваете ответ для простейшего способа настройки PHP приложения , то был бы INI-файл. Базовая конфигурация PHP создается из таких файлов. Его формат предлагает весь необходимый синтаксис - комментарии, массивы и т.д. Он может быть проанализирован с помощью собственной функции - parse_ini_file(). Если вас беспокоит безопасность/доступ, как отмечалось выше, вы можете исключить его из проекта или сохранить в отдельном месте. И наоборот, если вы хотите разрешить кому-либо настраивать приложение без доступа к коду, он может просто отредактировать файл INI.

ОБНОВЛЕНИЕ ЧТО КАСАЕТСЯ массивов nD

Хотя это правда, что parse_ini_file() не поддерживает многомерные массивы, вы можете комбинировать разделы с массивами для обеспечения более сложной конфигурации. Все, что выходит за рамки этого, на мой взгляд, опасно близко к плоскому файлу данных - не файлу конфигурации - и принадлежит другому месту (т. Е. базе данных).

Я нахожу самый простой и гибкий формат JSON с использованием PHPS, встроенных в json_encode и json_decode. Тогда ваш массив конфигурации будет выглядеть следующим образом:

{
    "company" : "BMC",
    "aplicable_tax" : 0.21,
    "context_arr" :
    {
        "case1" : 12,
        "case2" : 13,
        "case3" : 14
    },
    "EN_welcome_text" : "hello"
}

Преимущество заключается в том, что вы также можете хранить конфигурацию в другом месте (например, в базе данных) и не должны предоставлять пользователям прямой доступ к файловой системе.

Я использую таблицу БД, в которой есть ключ, значение и описание. Я запрашиваю значение конфигурации по его ключу, и описание отображается на странице настройки.

Один из способов защитить ваш конфигурационный файл - запросить предварительно определенную константу, которую вы определите в своих сценариях.

Поместите эти данные в структуру XML - гарантированно без выполнения кода, многоуровневых вложений, структуры данных любого типа, комментариев. Все, что вам нужно, и синтаксис IDE выделите как преимущество.
Для синтаксического анализа - SimpleXML (как вариант).

Вы всегда можете использовать файлы .ini для настройки. Мало того, что они в значительной степени стандартны и очень удобочитаемы для человека, это упростит настройку вашего приложения. Эта функция может помочь вам: http://php.net/manual/en/function.parse-ini-file.php

Но вы должны помнить, что сказал Джейсон: "Простая истина заключается в том, что если вы можете получить доступ к коду, вы можете взломать код"

Учитывая, что .ini и .xml были отклонены, я бы рассмотрел следующее:

• Удалите массив $config =(строка и); строки, оставив только сопоставления ключей => значений и комментарии

• Вместо того, чтобы включать конфигурационный файл, сделайте что-то похожее на:

  Eval("$config =массив("+file_get_contents('файл конфигурации')+");");

Вам следует немного разобрать config.file, чтобы обеспечить большую защиту от инъекций - с моей головы, без кавычек/без комментариев ; - опасный персонаж, могут быть и другие. Большинство ошибок должны просто привести к сбою оценки.

Тем не менее, если вы не доверяете третьей стороне не предоставлять опасный файл включения, вам нужно выбрать другой подход. Можете ли вы предоставить стороннему поставщику веб-интерфейс, который отправляет вам файлы конфигурации? Комментарии/подсказки будут отображаться на экране в формате HTML, но у вас будет хороший, безопасный JSON для анализа.