php - 将您的数据库详细信息保存在可通过浏览器访问的 php 文件中是否存在安全风险？

Question

我刚刚和一个同事吵架了。我的 index.php 包含我的 mysql 连接，因此也包含主机、用户名、密码和数据库名称。他声称这是一个安全线程，因为 php 解析器可能会失败，这会导致网络服务器将整个文件作为纯文本返回。然而，我相信如果 php 解析器失败，网络服务器会给用户一个内部服务器错误。

谁能确认它是否存在安全风险？

谢谢。

Answer 1

简短的回答是否定的。

长答案是肯定的，但前提是:

1. 您的服务器已被入侵，在这种情况下，阅读您的 php 文件的人是您最不担心的
2. 您错误地配置了服务器来解析 .php 文件和纯文本，这确实非常愚蠢。

此外，如果您正在使用某种版本控制软件，请确保您的 .hg 或 .svn 或任何文件夹无法通过网络浏览器查看。您会惊讶于这种情况发生的频率。

编辑:

我已经倾向于采纳这里的一些建议，这是我在日常开发中所做的。在您的网络根文件夹之外有一个 config.php 文件，并将其包含在您的 index.php 中。这样你就可以确定它永远不会被看到。顺便说一句，多年来我一直在使用 PHP 进行开发，并且从未遇到过解析器以导致向最终用户显示原始 PHP 的方式失败。

编辑 2:

如果您的同事在谈论 PHP 解析器“失败”时指的是解析错误，那么在实际环境中您应该禁用错误报告。