Discussion :

[MV1908]

Salut à tous,

Je m'interroge sur un point concernant la gestion des users dans MySQL dans le cadre d'une application en PHP.

J'hésite entre les deux solutions suivantes :

• créer un utilisateur dans MySQL par utilisateur de l'application (avec commandes CREATE USER et tout ce qui va bien), et faire que l'application utilise le mot de passe de l'utilisateur pour se connecter à la base de données ; et utiliser d'autre part une base de données afin de définir les permissions pour tel ou tel utilisateur
• Utiliser une base de données dédiée à la gestion des utilisateurs, ou l'on créerait des groupes, correspondant chacun à un user MySQL, et l'application se connecterait à la base de données avec le mot de passe du groupe auquel l'utilisateur appartient
• Utiliser la aussi une base de données dédiée à la gestion des users avec éventuellement des groupes mais faire en sorte que l'application se connecte avec un mot de passe unique quel que soit l'utilisateur.

Bien sûr, chaque solution a ses avantages et ses inconvénients, et je ne sais laquelle choisir. Perso j'hésite plus entre la 1ere et la 2eme, mais j'ai vu les 3 méthodes utilisées au travers de différents développements...

J'aurais tendance à individualiser les comptes afin d'éviter d'exposer tout ou partie de la base en cas de hack du mot de passe, mais c'est assez lourd à gérer je trouve...

Pouvez-vous me dire ce que vous en pensez et comment vous procédez?

Merci d'avance

Mathieu

[Maximil ian]

Salut,

La solution 2 me parait la meilleure. Une gestion des droits d'accès au niveau applicatif est indispensable mais c'est plus sûr de la doubler par une sécurité au niveau base de données.
L'idée d'un user SGBD par groupe/rôle dans l'application me semble bonne, en effet c'est souvent le rôle applicatif qui détermine les privilèges sur telle ou telle table.

Quant à la première solution, elle devient très lourde à gérer si le nombre d'utilisateurs dépassent quelques dizaines et si les users fluctuent beaucoup.

[MV1908]

Salut,

Merci pour ta réponse.

C'est celle à laquelle je m'attendais mais je voulais avoir une confirmation.

Que d'autres personnes n'hésitent pas à donner leur avis.

Merci.