我有一个 config.php 文件，我只是在其中创建了一个包含所有框架配置的巨大数组。还有数据库源字符串，如“mysql:host=localhost;dbname=mydb”（什么叫，顺便说一句？）和数据库的用户名+密码。恐怕这是：
那么 PHP 专家是如何做到这一点的呢？
【问题讨论】：
hey-this-is-just-a-useless-file-i-swear-man.php 或类似的东西;)
标签： php
如果您有一个www、httpdocs 或public_http 文件夹或类似的文件夹，而您的php 应用程序就在其中，那么最好将配置文件放在该文件夹之外，然后访问它像这样：
include "../config.php";
没有 FTP 访问权限，任何人都无法访问该文件，因此与将其放在应用程序文件夹中相比，它相对安全。
如果您没有这样的文件夹，您可以创建一个，并在根目录中创建一个 .htaccess 文件，它将所有请求重定向到该文件夹。有很多不同的方法可以做到这一点，但这是一个不同的问题。
【讨论】：
我将它存储在纯文本 ini 样式的配置文件中，通常位于 web 根目录之上，以免用户访问它。在可访问的情况下，我通常有一个带有deny from all 的.htaccess 文件，以防止对其进行所有访问。
将其存储在用户可访问的 PHP 文件中应该没问题，但这并不理想。如果服务器正确处理 PHP 文件，即使人们可以访问该文件，他们也无法访问这些值，因为他们只是获得了输出（什么都没有）。这当然有问题，（见 cmets）。
使用 PHP 文件是我用过的 PHP 项目（FOSS 和商业）最常用的方法。他们中的大多数都没有将它们存储在网络根目录之上。对于任何稳定的设置，从表面上看，将配置文件存储在 Web 根目录之上几乎没有什么意义，尽管考虑到 Murphy's law 如果可以的话，这是值得的（或者使用 .htaccess或您的服务器拒绝用户访问目录的等效项）
【讨论】：
大多数人都是这样做的，但您也可以尝试以下一些解决方案：
使用 .htaccess 限制对配置文件的访问：
订单拒绝，允许 拒绝一切 位置>
使用 .ini 文件和 parse_ini_file 函数（这本身并不是真正的解决方案，但可以与其他解决方案结合使用）
【讨论】：
为什么在“config.php”中存储数据库用户名和密码不合适？据我所知，此文件中的数据不能公开显示。
例如
<?php
$DB_User = "amindzx";
$DB_Pass = "Something";
// connect to DB and so on.
?>
除非黑客可以访问您的 FTP。
【讨论】：
为什么在没有任何证券的情况下保存简单的 config.php 文件是愚蠢的？即使程序员找到了这个文件，他也无能为力，因为就像 amindzx 所说的“这个文件不能公开显示”。还是我错了？
【讨论】：
使用数据库或支付网关凭据等敏感信息，当我可以控制服务器时，我喜欢在我的 apache 虚拟主机配置中添加如下行：
SetEnv DB_USER "myuser"
SetEnv DB_PASS "mypass"
在您的 PHP 中，您可以使用 $_SERVER['DB_USER'] 访问这些。您可以使此配置文件只能由 root 读取，您永远无法对 php 在运行时访问的文件执行此操作。一个警告：确保禁用 php_info 并且不要用 print_r($_SERVER) 之类的愚蠢的东西公开这些变量。 （其中大部分是从here 转述或窃取的。）
对于非敏感配置，我喜欢做一个充满常量的类，这与您的设置类似，但我喜欢它的 OOP-ness。
class Application
{
const CONTACT_EMAIL = "me@mysite.com";
}
usage:
$contactEmail = Application::CONTACT_EMAIL;
【讨论】：
我通常也将设置存储在 config.php 中，例如数据库连接设置、文件路径等。
【讨论】：