如何在PHP中隐藏MySQL连接信息？避免数据库密码泄露

首先明确：前端审查元素只能看到客户端代码（HTML/CSS/JS），后端PHP源码不会被浏览器获取——除非你的服务器配置错误（比如PHP文件未被解析，直接以文本形式输出），所以先确保服务器能正常解析PHP文件，这是基础前提。

针对后端代码里的密码，推荐以下几种隐藏/保护方案：

• 将配置文件放在Web根目录之外
  这是最安全且易实现的方案。Web服务器（如Apache/Nginx）只会对外暴露指定的Web根目录（比如public_html、www），把数据库配置单独放在根目录外的文件中，再在业务代码中引入。
  示例：
  假设Web根目录是/var/www/html，创建配置文件/var/www/db_config.php：

  <?php
  $db_host = 'localhost';
  $db_user = 'your_user';
  $db_pass = 'your_secure_password';
  $db_name = 'your_db';
  ?>
  

  然后在业务代码中引入：

  <?php
  include '/var/www/db_config.php';
  $con = mysqli_connect($db_host, $db_user, $db_pass, $db_name);
  ?>
  

• 使用环境变量存储密码
  在服务器上设置环境变量，PHP通过getenv()读取，避免密码出现在任何源码文件中。

  • Apache：在httpd.conf或.htaccess中添加：

    SetEnv DB_PASS "your_secure_password"
    

  • Nginx：在配置文件的fastcgi_param中添加：

    fastcgi_param DB_PASS "your_secure_password";
    

  PHP代码中使用：

  <?php
  $db_pass = getenv('DB_PASS');
  $con = mysqli_connect('localhost', 'your_user', $db_pass, 'your_db');
  ?>
  

  也可以用.env文件（需配合vlucas/phpdotenv类库），但务必确保.env文件不在Web根目录内，且权限设为600（仅所有者可读）。

• 使用低权限数据库账号
  即使密码意外泄露，也要把损失降到最低：给这个连接账号只分配必要的权限（比如仅允许对用户表执行SELECT/INSERT/UPDATE，禁止DROP、ALTER等高危操作），避免攻击者拿到密码后破坏整个数据库。

• 加密配置文件（进阶方案）
  对包含密码的配置文件进行加密，在PHP运行时解密后使用。但注意：解密密钥不能硬编码在源码中，仍需通过环境变量或其他外部安全方式获取，否则加密毫无意义。示例（用OpenSSL）：
  加密配置内容（命令行）：

  echo "your_secure_password" | openssl enc -aes-256-cbc -salt -out pass.enc -k $(getenv('ENCRYPT_KEY'))
  

  PHP中解密：

  <?php
  $enc_key = getenv('ENCRYPT_KEY');
  $encrypted_pass = file_get_contents('/var/www/pass.enc');
  $db_pass = openssl_decrypt($encrypted_pass, 'aes-256-cbc', $enc_key, 0, substr($encrypted_pass, 0, 16));
  $con = mysqli_connect('localhost', 'your_user', $db_pass, 'your_db');
  ?>
  

内容的提问来源于stack exchange，提问作者StarrySkies