PHP 配置文件在 HTTP 上是否安全？ [复制]答案

【问题标题】：Are PHP config files secure on HTTP? [duplicate]PHP 配置文件在 HTTP 上是否安全？ [复制]
【发布时间】：2011-11-15 22:15:57
【问题描述】：

可能重复：
Security of PHP script, embedded or otherwise

许多可供下载的 PHP 应用程序（例如 Wordpress）包含配置文件，其中包括敏感信息（密码、数据库登录详细信息等）。这些文件真的安全吗？我知道如果有人直接导航到它们或尝试下载它们（例如通过http://www.example.com/admin/config.php），他们将看到的只是一个没有任何数据的空白页面。但是，我仍然很警惕。您能否就这方面的文件安全最佳实践启发我？谢谢！

【问题讨论】：

查看页面源代码。那里没什么重要的。除非服务器不解析 php，否则你很好。如果没有，那么您遇到的问题比知道您的数据库密码的用户更大（如果他们可以看到您的任何源代码，无论如何都可能搞砸了）
一般建议是将敏感配置文件移到文档根目录上方。更简单的方法是使用受限子目录或使用 .htaccess 和 FilesMatch 指令阻止访问。
@mario：这个问题是相关的，但不同之处在于我询问的是专用的 PHP 配置文件，而不是嵌入了 PHP 内容的 HTML 文件。感谢 .htaccess 和 FilesMatch 提示。我会调查一下。
@cyclone：这是有道理的。谢谢。
@Jared：你当然可以找到一个“更准确”的副本，而无需任何关于 HTML 的问题填充。但这是同一个主题，我相信没有更多（实用的）解决方案。

标签： php security http encryption config

【解决方案1】：

它们通常是安全的。但是，最好是包含来自 public_html 文件夹上方的配置文件，这样就无法直接访问。否则，还有很多其他方法可以保证它们的安全。

【讨论】：

我一定会把它放在public_html文件夹上面。 Mario 还提到了定义 .htaccess 文件。以某种方式混淆数据库名称、密码等是否有帮助？
听起来您担心潜在的密码影响。为什么不直接使用 ioncube 之类的东西呢？
谢谢，大卫。这些 cmets 给了我一些探索的选择。

【解决方案2】：

一般来说，它们是保存的。但是如果可能的话，应该将它们移动到网络无法访问的目录，因为如果 php 解析器由于某种原因停止工作并吐出纯文本源代码，您的配置将不可见。

【讨论】：