MySQL中如何处理存储信用卡号码的SESSION？有什么解决方法？

阅读更多：MySQL 教程

问题背景

在网站开发中，很多情况下需要为用户存储一些敏感信息，例如信用卡号码、密码等。而在使用MySQL作为数据库时，会有很多开发者选择将这些敏感信息存储在SESSION中。然而，SESSION的存储机制并不安全，在某些情况下，攻击者可以很容易地窃取这些信息，造成严重的损失。

可能的解决方法

数据库加密

一种较好的解决方案是使用数据库加密机制来保护这些敏感信息。具体实现方法有很多，比如MySQL的AES加密。在使用这个方法时，将明文敏感信息进行AES加密，然后存储加密后的密文到数据库中。在需要使用这个信息时，再将密文进行解密操作。

下面我们展示一个用AES加密敏感数据的例子：

CREATE TABLE creditcard (
  id INT(6) UNSIGNED AUTO_INCREMENT PRIMARY KEY,
  card_number VARBINARY(250) NOT NULL
);

INSERT INTO creditcard (card_number) VALUES (AES_ENCRYPT('4111111111111111', 'secret_key'));

SELECT id, CAST(AES_DECRYPT(card_number, 'secret_key') AS CHAR(50)) as card_number FROM creditcard;

避免存储敏感信息

另一种更好的方法是尽量避免存储敏感信息。比如，可以只存储信用卡号的最后4位数，而不是全部的信用卡号码。在需要使用这个信息的时候，再通过第三方支付工具等方式获取完整的信用卡号码。这样既可以保证网站的业务流畅性，又可以提高用户数据的安全性。

下面我们展示一个只存储信用卡号的最后4位数的例子：

CREATE TABLE creditcard (
  id INT(6) UNSIGNED AUTO_INCREMENT PRIMARY KEY,
  last_4_digits INT(4) NOT NULL
);

INSERT INTO creditcard (last_4_digits) VALUES (1111);

SELECT id, CONCAT('************', last_4_digits) as card_number FROM creditcard;