安全地存儲數據庫連接詳細信息。 為什么要全部使用.inc？

Question

我一直在讀，您應該始終將數據庫憑據存儲在文檔根目錄之外，因為通常您會將其設置為db.inc或類似名稱。

我能理解這一點，自然很有意義。

我不明白的是為什么要把文件變成一個文件，要么需要設置apache使其隱藏，要么首先需要將其放置在安全的位置。

db.php這樣的問題是什么-然后apache知道先執行腳本並返回輸出（在大多數情況下，該輸出為空白）。

也許我很愚蠢，缺少一個固有的安全漏洞，但是將您的詳細信息存儲在.php文件中是否有任何問題？ 我的意思是Wordpress和其他主要的開放源代碼PHP應用程序設法擺脫了它，但這是因為它們無法使腳本與www以外的文件夾對話，還是因為它與其他任何方法一樣安全？

Answer 1

也許我很愚蠢，缺少一個固有的安全漏洞，但是將您的詳細信息存儲在.php文件中是否有任何問題？

Apache的配置略有下降，該文件開始以原始方式提供，而不是由PHP引擎處理。

我的意思是Wordpress和其他主要的開放源代碼PHP應用程序設法擺脫了它，但這是因為它們無法使腳本與www以外的文件夾對話，還是因為它與其他任何方法一樣安全？

他們接受增加便利的風險。

Answer 2

將包含（數據庫）憑據的文件存儲在文檔根目錄之外始終是一個好主意。 假設您升級了Apache，但是忘記了使用PHP更新配置。 文檔根目錄中的任何文件都可以在不解析的情況下下載。

Wordpress，Joomla，phpBB等可移植。 即，駐留在一個文件夾中。