一个额外的技巧是使用一个PHP单独的配置文件，如下所示:

<?php exit() ?>

[...]

Plain text data including password

这并不妨碍您正确地设置访问规则。但如果你的网站被黑客攻击，“要求”或“包括”将在第一行退出脚本，因此更难获得数据。

然而，不要让配置文件在可以通过web访问的目录中。你应该有一个“Web”文件夹，包含你的控制器代码，css，图片和js。这是所有。其他的都放在脱机文件夹中。

如果谈论的是数据库密码，而不是来自浏览器的密码，标准的做法似乎是将数据库密码放在服务器上的PHP配置文件中。

您只需要确保包含密码的php文件具有适当的权限即可。也就是说，它应该是可读的只有web服务器和您的用户帐户。

将数据库密码放在一个文件中，使其对提供文件的用户只读。

除非您有某种方法只允许php服务器进程访问数据库，否则这几乎就是您所能做的全部工作。

我们是这样解决的:

Use memcache on server, with open connection from other password server. Save to memcache the password (or even all the password.php file encrypted) plus the decrypt key. The web site, calls the memcache key holding the password file passphrase and decrypt in memory all the passwords. The password server send a new encrypted password file every 5 minutes. If you using encrypted password.php on your project, you put an audit, that check if this file was touched externally - or viewed. When this happens, you automatically can clean the memory, as well as close the server for access.

你的选择是有限的，因为你说你需要密码来访问数据库。一种常用的方法是将用户名和密码存储在单独的配置文件中，而不是主脚本中。然后确保将其存储在主web树之外。这是如果有一个web配置问题，让你的php文件只是显示为文本，而不是执行，你还没有暴露密码。

除此之外，你是在正确的行与最小的访问所使用的帐户。再加上

不要使用用户名/密码的组合 将数据库服务器配置为只接受来自该用户的web主机的连接(如果DB在同一台机器上，localhost更好)，这样即使凭证暴露出来，它们对任何人都没有用处，除非他们有其他访问机器的权限。 混淆密码(即使是ROT13也可以)，如果有人访问了文件，它不会提供太多的防御，但至少可以防止随意查看它。

彼得

一个额外的技巧是使用一个PHP单独的配置文件，如下所示:

<?php exit() ?>

[...]

Plain text data including password

这并不妨碍您正确地设置访问规则。但如果你的网站被黑客攻击，“要求”或“包括”将在第一行退出脚本，因此更难获得数据。

然而，不要让配置文件在可以通过web访问的目录中。你应该有一个“Web”文件夹，包含你的控制器代码，css，图片和js。这是所有。其他的都放在脱机文件夹中。