Absicherung bei Abfrage einer Online-DB (MySQL) über PHP-Skript

Hallo Matthias!
Da gibt es mehrere möglichkeiten.
Meist schickt man noch ein ApiKey oder Login mit. Das ist ein Hash wert der aus irgendwelchen Faktoren wie benutzer und passwort generiert wird.
Dein PHP muss dann prüfen ob der Key passt und gibt dann entsprechend was aus.
100% sicher ist das leider auch nicht aber es gibt dir die Sicherheit dass niemand durch das reine Wissen ümer die Url die API benutzen oder Misbrauchen kann.

Genau deswegen meinte ich nicht 100% sicher.
Apk reverse Engeneering ist zwar verboten aber trotzdem.
Wenn du sichergehen willst dass die Verbindung sicher ist müsstest du ein Challenge-Response verfahren nutzen. Wie man das aber Umsetzt hab ich keine Ahnung.

Je nachdem, ob du einen Login verwendest, könntest Du die requests ja damit absichern.
Dann könntest auch nachvollziehen wer wann was lädt.

Musst ja nicht zwingend eines anlegen.
Danns schränkst du es halt ein.
User ohne login dürfen dann halt weniger als mit.

— geändert am 07.03.2016, 16:33:58

Zunächst sollte die DB so konzipiert sein, dass Schreibzugriffe nicht nötig sind.

Rechte des Users auf das absolut notwendige Maß beschränken.

Zwingenden TLS-Layer für die Connection einrichten.

API-Key dynamisch gestalten. Zum Beispiel aus dem Timestamp generiert und zusätzlich salzen.

Ein simpler Timestamp ist Mist. Laufen die Uhren von Server und Client nur eine Sekunde auseinander, geht nichts. Also lieber einen String aus Datumsbestandteilen zusammensetzen. Und vor allem: Mir UTC rechnen, damit ubterschuedliche Zeitzonen nicht zum Problem werden.