nicht angemeldet
Aloha,
Von MySQL her kenne ich das, würde es jedoch nicht verwenden: Wenn das Logging aktiviert ist, kannst Du alle Passworte als Klartext in den Binlogs nachlesen ;)
Naja, wenn das Apache-Logging falsch konfiguriert ist, loggt der auch fröhlich in der Weltgeschichte herum (Ein Shared-Hosting-Anbieter, der *jedem* Kunden den Zugriff auf das *komplette* Apache-log erlaubte, war mal überaus verwundert, als ich ihn darauf aufmerksam machte, was "cat /var/log/apache2/accesss.log | grep password" so alles zu Tage fördert :) )
Du musst natürlich das Logging Deines Servers so anpassen, dass es den Sicherheitsanforderungen Deiner Anwendung entspricht.
Ansonsten: Ich sehe kein Problem darin, mehrere tausend Benutzer/Passworte/Gruppen in einer Datei zu verwalten, lediglich beim Editieren muss eine Solche komplett in den Hauptspeicher geladen werden, beim Parsen der Credentials jedoch nicht.
Jepp, dann musst Du aber z.b. auch sicher stellen, dass, wenn zwei Webserver-Threads/Prozesse an der Passwort-Datei herumändern, diese sich nicht gegenseitig überschreiben. Ist natürlich alles implementierbar (via flock, Semaphore und ähnliches), ist aber halt mehr an was man denken muss (was die Datenbank hingegen von sich aus regelt).
So long,
Jörg