php - 数据库凭据的安全存储

Question

最近遇到了一个大问题，我的网络托管公司搞砸了，我所有的 php 文件都以纯文本显示。出于显而易见的原因，这对我来说是一个主要问题。主要是因为mysql数据库的细节被暴露了。

我现在正在尝试更改我的 php 文件获取数据库登录信息的方式，这样即使托管公司让我失望，也不会再发生这种情况。

我目前的设置是这样的:

     include 'info.php';

    class Login {

var $host;
var $username;
var $password;
var $db;
var $url;

info.php 里面是数据库的用户名、密码等。我想让它永远无法查看 info.php 文件，只有我的 .php 文件才能访问 info.php 以获取登录信息。

我该如何设置？这对我来说解释起来有点棘手，所以请不要苛刻，如果描述不当请给我 -1 .. 只需询问，我会清除我描述中的任何空白。

Answer 1

只需将 info.php 放在您的 webroot 之外。通过这种方式，您可以包含它，但是如果您的虚拟主机 f*#$ 启动，其他人将无法查看该文件，即使是纯文本文件也是如此。

然后你会像这样包含它:

include('../info.php');

这样，即使有人发现您有一个名为 info.php 的文件来存储您的所有密码，他们也无法将浏览器指向该文件。

以上将是理想且最无懈可击的解决方案。但是，如果由于权限原因无法做到这一点，另一种选择是将所有敏感文件放在一个目录中，并使用 .htaccess 文件阻止对该目录的直接访问。

在您要阻止访问的目录中，放置一个包含以下内容的 .htaccess 文件:

全部拒绝