php安全性-在php文件中包括SQL用户名和密码

Question

我有一个使用php访问SQL数据库的网站。 它工作正常，我添加了各种检查以确保用户已登录以访问所需的网页等，对此我感到满意。

我的问题是，当他们到达使用php访问SQL数据库的网站的报告部分时，数据库用户名和密码将在php文件中传递：

$username = "username";
$password = "password";

$con = mysql_connect(localhost, $username, $password) or die(mysql_error()); 

这是不好的做法-是否存在安全风险？ 如果是的话，如何解决？

非常感谢

Answer 1

由于php是在服务器上呈现的，因此页面的访问者无法看到用户名和密码。 因此，将数据存储在php页面上并不是一个坏习惯。 查看用户名和密码的唯一方法是，如果有人可以访问服务器来查看文件。

另一种方法是拥有一个可被php读取但位于该站点公用文件夹之外的配置文件。

Answer 2

在php文件中添加数据库登录信息是一种很好的做法，而且很常见。 访问者无法查看此信息，因为在将页面发送给用户之前已对代码进行了解析。 作为附加的安全级别，优良作法是将数据库配置为禁止外部访问（如果该数据库位于同一服务器上）。