PHP中PDO数据库连接如何隐藏主机、用户名及密码凭证？

1. 使用环境变量（推荐） #

把数据库凭证存在环境变量中，代码仅读取变量而非硬编码，可通过.env文件统一管理：

• 在项目根目录创建.env文件（务必设置权限，禁止Web直接访问）：

DB_HOST=localhost
DB_NAME=mydb
DB_USER=root
DB_PASS=mysecret

• 在PHP入口文件加载.env内容（无需第三方库的手动实现）：

$env = parse_ini_file(__DIR__ . '/.env');
foreach ($env as $key => $value) {
    putenv("$key=$value");
}

• 连接PDO时读取环境变量：

$dsn = sprintf('mysql:host=%s;dbname=%s;charset=utf8mb4', getenv('DB_HOST'), getenv('DB_NAME'));
$pdo = new PDO($dsn, getenv('DB_USER'), getenv('DB_PASS'));
$pdo->setAttribute(PDO::ATTR_ERRMODE, PDO::ERRMODE_EXCEPTION);

2. 将配置文件存放在Web根目录外 #

把数据库配置放在Web服务器无法直接访问的目录（如Web根目录的上级）：

• 创建/var/config/db_config.php：

<?php
return [
    'host' => 'localhost',
    'dbname' => 'mydb',
    'user' => 'root',
    'pass' => 'mysecret'
];

• 在项目代码中引入配置文件：

$dbConfig = require '/var/config/db_config.php';
$dsn = sprintf('mysql:host=%s;dbname=%s;charset=utf8mb4', $dbConfig['host'], $dbConfig['dbname']);
$pdo = new PDO($dsn, $dbConfig['user'], $dbConfig['pass']);

注意给配置文件设置严格权限（如Linux下设为600），仅允许PHP进程读取。

3. 封装PDO单例连接类 #

封装一个单例类，初始化时加载凭证，后续直接调用即可复用连接：

<?php
class Database {
    private static ?PDO $pdo = null;

    private function __construct() {} // 禁止外部实例化

    public static function getConnection(): PDO {
        if (self::$pdo === null) {
            // 加载凭证（可结合环境变量或外部配置文件）
            $env = parse_ini_file(__DIR__ . '/.env');
            $dsn = sprintf('mysql:host=%s;dbname=%s;charset=utf8mb4', $env['DB_HOST'], $env['DB_NAME']);
            self::$pdo = new PDO($dsn, $env['DB_USER'], $env['DB_PASS']);
            self::$pdo->setAttribute(PDO::ATTR_ERRMODE, PDO::ERRMODE_EXCEPTION);
        }
        return self::$pdo;
    }
}

// 使用示例
$pdo = Database::getConnection();
$stmt = $pdo->query('SELECT * FROM users');

整个项目只需调用Database::getConnection()即可获取PDO实例，无需重复编写连接逻辑。

关键注意事项 #

• 所有凭证文件（.env、db_config.php）不要提交到版本控制，需在.gitignore中添加对应路径。
• 严格控制凭证文件的操作系统权限，避免被非法读取。

内容的提问来源于stack exchange，提问作者Adrián Fazanes