Hướng dẫn này khám phá một số lý do bảo mật tại sao bạn không bao giờ nên dùng XAMPP trên server production để host hoặc triển khai ứng dụng PHP.
Tại Sao Dùng XAMPP Cho Phát Triển?
XAMPP là một trong những LAMP stack phổ biến nhất để phát triển ứng dụng PHP. Nó bao gồm server Apache, database MariaDB, và các script liên quan PHP và Perl.
Vì đa nền tảng, mã nguồn mở, và dễ thiết lập, nó là một trong những công cụ tốt nhất cho người mới bắt đầu phát triển web app PHP.
Tại Sao Không Nên Dùng XAMPP Cho Production
Tuy nhiên, XAMPP không khuyến khích dùng trên server production vì các lý do bảo mật sau.
1. Không Có Mật Khẩu Cho Quản Trị Viên Database
Mật khẩu quan trọng nếu bạn có website động với database. Mật khẩu cho quản trị viên database trên XAMPP không được đặt mặc định dẫn đến nhiều vấn đề bảo mật.
- Hacker có thể truy cập toàn bộ database và sửa đổi tùy ý vì user root có quyền đọc, ghi, thực thi.
- Ai có quyền truy cập database có thể xem và sao chép tất cả thông tin người dùng và công ty mật bao gồm sao chép toàn bộ database.
- Hầu hết hệ thống hiện nay phụ thuộc database. Nếu database bị xóa hoặc không truy cập được, hệ thống về cơ bản sụp đổ.
2. MySQL Có Thể Truy Cập Qua Mạng
XAMPP dùng MySQL hoặc MariaDB làm dịch vụ database. Thật không may, daemon MySQL dễ dàng truy cập qua mạng rất tiện nếu phát triển website trên PC cục bộ nhưng không lý tưởng cho production.
Dù dùng tường lửa giới hạn truy cập, có thể không bảo mật hoàn toàn database khỏi bị truy cập.
3. ProFTPD Dùng Mật Khẩu Biết Trước
ProFTPD là client FTP (File Transfer Protocol) mặc định của XAMPP. Là bí mật công khai rằng mật khẩu mặc định đặt là "lampp". Nghĩa là người dùng dễ dàng truy cập tất cả file HTML tĩnh hoặc trang web.
Hacker có thể copy trang web tĩnh xây dựng trang giả tương tự và lừa thông tin giá trị từ người dùng. Cũng có thể chèn mã độc vào trang giả hoặc bản sao lây lan máy tính mạng.
4. Local Mail Server Không An Toàn
Trên Windows, XAMPP dùng Mercury làm mail server mặc định. Thật không may, mật khẩu cũng được biết rộng rãi, khiến người xấu dễ truy cập email.
Với quyền truy cập email, hacker gửi mã độc qua email, cố gắng lừa tiền từ người không ngờ, hoặc ruồng ré uy tín công ty bằng gửi email không phù hợp cho khách hàng.
Củng Cố Cài Đặt XAMPP
Nếu muốn cài đặt XAMPP an toàn hơn, chạy lệnh sau nếu XAMPP chạy trên server Linux:
sudo /opt/lampp/lampp securityTrên Windows, dùng URL: https://localhost/security để khắc phục một số vấn đề bảo mật. Lưu ý, dù làm các cấu hình trên, lỗ hổng bảo mật liên quan FileZilla và Mercury vẫn không khắc phục.
Các Thay Thế XAMPP Bạn Có Thử
XAMPP là công cụ tuyệt vời thiết lập môi trường phát triển PHP dù dùng Windows, macOS, hoặc Linux. Tuy nhiên, nó không đủ an toàn cho server production.
Hầu hết admin dùng LAMP stack gốc trên Linux, hoặc IIS trên Windows production server cung cấp cách triển khai ứng dụng PHP an toàn hơn. Nếu dùng Windows, cân nhắc tạo môi trường phát triển WAMP dùng WampServer.