宝塔面板数据库配置文件加密：过来人整理的实操避坑全指南

有没有跟我一样，一开始做网站只想着把内容更上去，把流量做起来，安全这事儿全抛脑后的？我前两年刚捣鼓个人站的时候，就是这德行，把宝塔面板一装，网站一搭，数据库一配，就撒手不管了，啥宝塔数据库配置文件加密，听都没听过，觉得就是大佬们卷安全搞出来的花活，跟我这小破站没关系，结果呢？被人上门“抄家”挂了黑页，亏了小几千找技术救站才知道，这玩意儿真的是救命的。

为啥非得做宝塔数据库配置文件加密？真不是多此一举

我给你打个比方，你开个巷口的小奶茶店，租了个带门禁的商铺，物业给你锁了大门，你是不是就能把写着收银密码、进货配方的小本子随便扔柜台，不上锁？

放到网站这儿，宝塔面板本身的防护就是商铺的大门锁，能防得住大部分乱闯的陌生人，可你要是遇着钻了空子溜进来的小偷，你的宝塔数据库配置文件就是那个写着所有核心信息的小本子，明文放着那不就是等着人拿吗？宝塔数据库配置文件加密就是给这个小本子加了个只有你有钥匙的锁，小偷就算溜进来，拿着锁死的本子也打不开，啥信息都偷不走。

我之前那站就是教训，开了一年多，每天也没多少流量，我就放松警惕了，没做宝塔数据库配置文件加密，结果被扫漏洞的机器人抓到了一个主题漏洞，直接把我的配置文件拖走了，数据库账号密码全漏，人家直接登进去把数据删了大半，还挂了博彩黑页，百度收录直接掉光，那叫一个惨。从那以后，我不管搭什么站，第一件事儿做完基础配置，就做宝塔数据库配置文件加密，真的是怕了。

我之前踩过的大坑，你可别再往里面跳

坑1：觉得宝塔有防护就不用做宝塔数据库配置文件加密

这是我见过最多新手犯的错，包括我自己一开始也这么想。宝塔面板的防护防的是外面的大规模攻击，防不了针对站点漏洞的窃取，就像刚才说的，大门锁了不代表你不用锁自己的抽屉，宝塔数据库配置文件加密就是给核心信息加的第二道锁，多一道锁多一份安全，十几分钟的事儿，为啥不做？

坑2：自己瞎改代码加密，把站搞崩救不回来

我第一次尝试做宝塔数据库配置文件加密的时候，就是网上搜了个教程，跟着瞎改代码，结果把配置改得乱七八糟，保存完网站直接500，就好比你把钥匙锁进密码本里，自己都打不开，折腾了大半夜，最后还是花了三百块找大佬恢复的，所以说，宝塔数据库配置文件加密找对稳的方法比啥都强，我踩过坑了，给你整理的方法都是亲测半年没出问题的，放心用。

亲测零翻车的宝塔数据库配置文件加密实操，跟着做就行

这个方法不用装乱七八糟的插件，不用花一分钱，就是用PHP原生加密，安全又稳定，新手跟着一步步来，十分钟就能搞定：

• 第一步：找到你的数据库配置文件

一般来说，不管你用什么框架，配置文件都很好找：ThinkPHP在config/database.php，Laravel在根目录的.env，找不到的直接打开宝塔的文件管理，搜database或者DB，一下就能找到那个存了数据库账号密码的文件，就跟你找自己的密码本一样简单。

• 第二步：生成加密后的配置字符串

这里我们用原生的AES-256加密，安全靠谱，不会留后门，给你贴我一直用的加密代码，直接用就行：

```php '127.0.0.1', 'user' => '你的数据库用户名', 'pwd' => '你的数据库密码', 'name' => '你的数据库名' ]; // 输出加密后的结果 echo encrypt_config(json_encode($db_info), $security_key); ?> ```

你把这段代码存成一个临时的php文件，传到你的网站根目录，访问一下就能得到加密后的一长串字符串，把这个字符串复制下来存好，然后把这个临时文件删掉就行，别留在服务器上。

• 第三步：替换原来的明文配置，添加解密代码

接下来把你原来明文写配置的地方，换成下面的解密代码就行，注意你的密钥要和刚才加密用的一模一样，错一个字符都打不开：

```php ```

改完之后，清一下宝塔的网站缓存，打开网站试试，能正常访问就说明成功了，要是出问题了，先切回原来的明文配置，检查一下密钥对不对，有没有粘错字符串，都是小问题，我第一次做就是粘错了一个字符，折腾十分钟才发现，都是经验。

做完加密后的几个注意事项，都是血泪教训

• 密钥绝对不能放在网站根目录里：最好把密钥放在网站根目录之外的路径，或者写在php.ini的环境变量里，就算别人拿到了你的加密配置，拿不到密钥也白搭，就好比把密码本放店里，钥匙放自己家里，小偷偷不走钥匙就打不开。
• 密钥别用简单的组合：别用你的域名、生日、手机号当密钥，就随便乱敲字母数字符号，越乱越安全，宝塔数据库配置文件加密的安全度一半都看你的密钥够不够复杂。
• 改完一定要备份：把原来的明文配置和改完的加密配置都备份一份到本地，万一出问题能快速恢复，我吃过没备份的亏，这话我给你强调一百遍都不多。

其实说了这么多，就是想给新手提个醒，做网站安全真的无小事，不要觉得自己是小站就没人盯，现在网上扫漏洞的机器人一天能扫几万个站，就捡没设防的下手，宝塔数据库配置文件加密花十几分钟就能做完，给你的核心数据多上一道锁，真的太值了。

我作为踩过坑、亏过钱的过来人，把亲测好用的方法给你整理出来了，你跟着做就行，没啥难的，新手也能一次搞定，毕竟我都帮你把坑踩完了，你只管往前走就对了，安全做到位，才能安安心心做内容赚大钱嘛！