安全地存储数据库连接详细信息。 为什么要全部使用.inc？

Question

我一直在读，您应该始终将数据库凭据存储在文档根目录之外，因为通常您会将其设置为db.inc或类似名称。

我能理解这一点，自然很有意义。

我不明白的是为什么要把文件变成一个文件，要么需要设置apache使其隐藏，要么首先需要将其放置在安全的位置。

db.php这样的问题是什么-然后apache知道先执行脚本并返回输出（在大多数情况下，该输出为空白）。

也许我很愚蠢，缺少一个固有的安全漏洞，但是将您的详细信息存储在.php文件中是否有任何问题？ 我的意思是Wordpress和其他主要的开放源代码PHP应用程序设法摆脱了它，但这是因为它们无法使脚本与www以外的文件夹对话，还是因为它与其他任何方法一样安全？

Answer 1

也许我很愚蠢，缺少一个固有的安全漏洞，但是将您的详细信息存储在.php文件中是否有任何问题？

Apache的配置略有下降，该文件开始以原始方式提供，而不是由PHP引擎处理。

我的意思是Wordpress和其他主要的开放源代码PHP应用程序设法摆脱了它，但这是因为它们无法使脚本与www以外的文件夹对话，还是因为它与其他任何方法一样安全？

他们接受增加便利的风险。

Answer 2

将包含（数据库）凭据的文件存储在文档根目录之外始终是一个好主意。 假设您升级了Apache，但是忘记了使用PHP更新配置。 文档根目录中的任何文件都可以在不解析的情况下下载。

Wordpress，Joomla，phpBB等可移植。 即，驻留在一个文件夹中。