バックエンドとフロントエンドのつなぎ方について

前提・実現したいこと

htmlのフォームに入力された情報に基づいてデータベースにアクセスして情報を提示するという形を取りたいのですが，データベースにアクセスするプログラムは外部から見えてはセキュリティの面で危ないと思うので，どのように書けばいいか悩んでいます．
例えば下の場合です．アカウントを削除する画面なのですが，今の状態ではパスワードもサーバーに接続していたらソースコードを見たら見れる状態になっています．
この場合javascriptとかでmysqlに接続する関数を作って後ろで動かしたほうが良いと思うのですが，調べても出てこず質問をさせて頂きました．

該当のソースコード

php
1<!DOCTYPE html>
2<html lang="ja" dir="ltr">
3  <head>
4    <meta charset="utf-8">
5    <title>アカウント削除</title>
6  </head>
7  <body>
8    <?php
9     if($_POST['comp']){
10       $dbname = "account";
11       $hostname = "localhost";
12       $username = "root";
13       $password = "パスワード";
14
15       $dt_id = $_POST['id'];
16       $dt_pa = $_POST['password'];
17
18       $connect = mysqli_connect($hostname, $username, $password);
19       mysqli_select_db($connect,$dbname);
20
21       $sql = "DELETE FROM user WHERE id = '$dt_id' AND password = $dt_pa";
22       $sqlq = mysqli_query($connect,$sql);
23       mysqli_free_result($sqlq);
24       mysqli_close($connect);
25       die("削除しました．ありがとうございました．");
26     }
27     ?>
28     <h2>削除するにはログインIDとパスワードを入力して下さい</h2>
29     <form class="" action="account_delete.php" method="post">
30       <h2>ID入力</h2>
31       <input type="text" name="id" placeholder="(例)human">
32       <br>
33       <h2>パスワード入力</h2>
34       <input type="text" name="password" placeholder="(例)2018">
35       <br>
36       <input type="submit" name="comp" value="削除">
37     </form>
38  </body>
39</html>
40

補足情報（FW/ツールのバージョンなど）

webサービスを作るのは初めてなので，書き方などの良い参考文献があればぜひ教えてください．

行動規範の内容に同意します

回答1件

ベストアンサー

phpはサーバ側で処理した結果をクライアントに返すので、ソースコードはクライアント側からは見えません。
逆に（ブラウザ上で動く）javascriptで処理しようとすると、内容を盗み見る方法があるので危険です。

投稿2018/05/17 15:22

set0gut1

総合スコア2413

muscle1100

2018/05/17 15:24

あ，そうなんですね

muscle1100

2018/05/17 15:26

今確認したら見れなかったので，安心しました．それならば，sql文の実行の前まで，ほかのPHPで書いてincludeしたほうが，他者からみた場合ソースコードは見やすいでしょうか？

set0gut1

2018/05/17 15:45

一昔前はwordpressの設定ファイルをディレクトリトラバーサルで盗み見るっていう攻撃手法があったりしたようですね。どういう構成にすればクラッキング耐性が高まるかを語るほど知識が無いので、クリッピングして他の方の回答を待ちます。

muscle1100

2018/05/17 15:51

すみません，ありがとうございます．複数人でwebサーバーを管理するので，他者に見やすい構成にしたいのですが，データベースを使う際に毎回使う場面で接続するコードを書いているのが無駄だと感じています．．．

set0gut1

2018/05/17 15:56

ああ！見やすいってそういうことですね。DRY原則というものがありまして、パスワードとかを複数箇所に書いてはいけないというのは強く言われている教訓なので、ひとつのファイルにまとめると大変良いと思います。例えばWordPressだとwp-config.phpっていうファイルにDBパスワードなどが書かれており、他の箇所は全てこれをincludeしています。

muscle1100

2018/05/17 16:14

そういう意味でしたすみません．そうなんですね！Wordpressも触ってみたいと思います本当にありがとうございました

set0gut1

2018/05/17 17:30

頑張ってください！

行動規範の内容に同意します