怎么才能不让别人轻易下载asp的mdb数据库文件，防止数据泄露的小技巧分享

最核心也是最基础的一点,就是把数据库文件放到网站目录之外的地方，这是很多有经验的开发者反复强调的首要步骤，网站的所有文件都放在一个主目录下，比如叫wwwroot或htdocs，黑客常用的一个手法就是尝试直接输入数据库的路径来下载，比如www.你的网站.com/data/db.mdb，如果你的数据库文件就在网站目录内，这个操作很有可能成功，我们应该把数据库文件移到这个主目录的外面，举个例子，假设你的网站在C:\inetpub\wwwroot这个文件夹里，那么你可以把数据库文件放在C:\database这样的位置，在ASP的连接数据库的代码中，使用服务器上的绝对路径来指向这个数据库文件，这样，用户通过浏览器无论如何也访问不到这个实际的文件路径了，因为它根本不在网站的可访问范围之内。

给数据库文件起一个让人猜不到的名字,很多初学者为了方便，会把数据库直接命名为data.mdb、db.mdb或者website.mdb，这等于告诉了黑客目标是什么，我们应该把它改成一个复杂的、无规律的名字，比如一串随机字符xs84kLJf09.mdb，这样，即使黑客有办法猜测你的网站结构，他也很难知道你的数据库文件具体叫什么，增加了攻击的难度，知乎上有用户打了个比方，这就好比把家里的贵重物品藏起来，不仅要藏得隐蔽，还要用一个不起眼的盒子装起来，不能贴着“贵重物品”的标签。

第三,修改数据库文件的后缀名，这是一个非常实用的小技巧，虽然我们的文件本质上是Access数据库（.mdb或.accdb），但我们不一定非要使用这个后缀名，我们可以把它改成.asp、.asa甚至.dll等，这么做的妙处在于，当有人试图通过URL直接访问这个文件时，比如www.你的网站.com/data/db.asp，Web服务器会把这个文件当作一个ASP脚本来解析执行，而不是当作一个静态文件来提供下载，由于这个文件里装的其实是数据库的二进制代码，不是有效的ASP脚本语法，服务器解析时会报错，但关键是不会把数据库的内容直接输出到浏览器上，从而避免了数据泄露，CSDN上有文章指出，这是一种“伪装”战术，让服务器来帮你挡住直接下载的请求。

第四,在数据库文件名中加入特殊符号，这是一个非常经典且有效的方法，据说对很多简单的下载工具特别管用，你可以把数据库名改成类似#data.mdb这样，在URL中，号通常被用作锚点标识符，当黑客尝试构造URL如www.你的网站.com/data/#data.mdb时，浏览器或下载工具可能会将之后的内容理解为页面内的锚点，从而无法正确解析出完整的文件名，导致下载失败，这相当于给数据库文件名加了一个简单的“锁”，不过需要注意的是，这个方法对于更高级的扫描工具可能效果有限，但作为一种简单的辅助手段，还是值得采用的。

第五,为数据库设置一个强密码，Access数据库本身支持设置密码，我们可以在数据库中设置一个足够复杂、长度足够的密码，这样，即使发生了最坏的情况——数据库文件真的被下载了，黑客拿到的也是一个加密的文件，没有密码，他很难打开并查看里面的数据，这为数据安全提供了最后一道防线，设置密码时，要避免使用“123456”、“admin”这类弱密码，最好是字母、数字、特殊符号的组合，论坛里有用户提醒，光有密码还不够，因为暴力破解工具依然可能破解弱密码，所以必须结合其他方法使用。

第六,对数据库连接字符串进行一些处理，数据库的连接信息（包括路径和密码）会直接写在ASP页面的代码中，如果网站存在其他安全漏洞导致源代码泄露，那么这些信息就会暴露，我们可以考虑对连接字符串进行简单的编码混淆，或者将其放在一个包含文件中，并给这个包含文件也起一个复杂的名字，虽然这不能从根本上防止高手破解，但能增加一点麻烦，提高一点安全性。

第七,也是最容易被忽视但非常重要的一点，就是及时更新和修补网站程序本身的漏洞，很多数据库被下载的案例，并不是因为上面这些设置没做，而是因为网站程序存在SQL注入、文件包含等漏洞，黑客通过这些漏洞，可以绕过目录限制，直接让服务器把数据库文件的内容“吐”出来，确保你的ASP代码是安全的，对所有用户输入进行严格的检查和过滤，防止执行恶意的SQL语句或文件操作命令，这才是治本的方法之一，有知乎答主强调，门锁得再结实，如果墙上有个洞，小偷一样能进来，所以整体安全防护意识至关重要。

要养成定期备份数据库的习惯,上面所有的方法都是为了“防”，但没有任何安全措施是百分百绝对的，定期将数据库备份到绝对安全的离线位置（比如本地电脑或移动硬盘），这样即使网站出现极端情况导致数据丢失或损坏，我们也能将损失降到最低，这算是数据安全管理的最后一道保险。

保护ASP网站的MDB数据库不是一个单一动作,而是一个组合拳，它包括：转移数据库位置、修改复杂文件名、改变文件后缀、巧用#号、设置强密码、处理连接字符串、修复网站漏洞以及定期备份，这些方法层层叠加，才能最大程度地增加黑客下载数据库的难度，保护我们的数据安全，这些技巧大多来源于广大开发者的实践总结，虽然不涉及高深的术语，但非常实用。