如果你正在使用PostgreSQL，那么它在~/。Pgpass自动设置密码。有关更多信息，请参阅手册。

你的选择是有限的，因为你说你需要密码来访问数据库。一种常用的方法是将用户名和密码存储在单独的配置文件中，而不是主脚本中。然后确保将其存储在主web树之外。这是如果有一个web配置问题，让你的php文件只是显示为文本，而不是执行，你还没有暴露密码。

除此之外，你是在正确的行与最小的访问所使用的帐户。再加上

不要使用用户名/密码的组合 将数据库服务器配置为只接受来自该用户的web主机的连接(如果DB在同一台机器上，localhost更好)，这样即使凭证暴露出来，它们对任何人都没有用处，除非他们有其他访问机器的权限。 混淆密码(即使是ROT13也可以)，如果有人访问了文件，它不会提供太多的防御，但至少可以防止随意查看它。

彼得

如果你正在使用PostgreSQL，那么它在~/。Pgpass自动设置密码。有关更多信息，请参阅手册。

将它们存储在web根目录外的一个文件中。

有些人把这个问题误解为如何在数据库中存储密码。这是错误的。它是关于如何存储密码，让您进入数据库。

通常的解决方案是将密码从源代码移到配置文件中。然后，将管理和保护配置文件的工作交给系统管理员。这样，开发人员就不需要知道任何关于产品密码的信息，并且在源代码控制中也没有密码记录。

之前我们将DB user/pass存储在一个配置文件中，但后来进入了偏执模式——采用了深度防御策略。

如果您的应用程序被泄露，用户将拥有对您的配置文件的读访问权，因此黑客就有可能读取这些信息。配置文件也可能在版本控制中被捕获，或者在服务器中被复制。

我们已经切换到在Apache VirtualHost中设置的环境变量中存储user/pass。这个配置只能由根用户读取——希望您的Apache用户不是以根用户身份运行。

这样做的缺点是，现在密码在一个全局PHP变量中。

为了降低这种风险，我们有以下预防措施:

The password is encrypted. We extend the PDO class to include logic for decrypting the password. If someone reads the code where we establish a connection, it won't be obvious that the connection is being established with an encrypted password and not the password itself. The encrypted password is moved from the global variables into a private variable The application does this immediately to reduce the window that the value is available in the global space. phpinfo() is disabled. PHPInfo is an easy target to get an overview of everything, including environment variables.