如何避免在PHP文件中硬编码SQL凭证？配置文件实现方法咨询

1. 创建独立的数据库配置文件 #

先建一个单独的配置文件，比如命名为config.php，一定要把它放在网站根目录之外（比如你的网站文件在/var/www/html，就把配置文件放在/var/www），避免被浏览器直接访问到。

配置文件内容示例：

<?php
// 数据库连接凭证
define('DB_HOST', 'localhost');
define('DB_USER', '你的数据库用户名');
define('DB_PASS', '你的数据库密码');
define('DB_NAME', '目标数据库名');
?>

注意：文件开头只留<?php标记，不要加任何多余的空格、换行或HTML内容，防止输出导致后续代码报错。

2. 修改现有PHP文件引入配置 #

找到所有带硬编码凭证的PHP文件，把原来的数据库连接代码替换成引入配置文件的方式：

原来的硬编码代码示例： #

// 硬编码凭证的连接方式
$conn = mysqli_connect('localhost', '硬编码用户名', '硬编码密码', '数据库名');

替换后的代码： #

// 引入配置文件，路径根据实际位置调整，比如上级目录用../config.php
require_once '../config.php';

// 使用配置文件中的常量建立连接
$conn = mysqli_connect(DB_HOST, DB_USER, DB_PASS, DB_NAME);

3. 强化配置文件的安全性 #

• 权限设置：给配置文件设置严格的文件权限，仅允许所有者读写：

  chmod 600 /path/to/your/config.php
  

• 如果必须放在网站根目录：添加访问限制规则：
  • Apache服务器：在网站根目录创建.htaccess文件，加入以下内容：

    <Files "config.php">
        Order Allow,Deny
        Deny from all
    </Files>
    

  • Nginx服务器：在站点配置中添加：

    location ~* config.php {
        deny all;
        return 404;
    }
    

4. 批量替换技巧 #

如果有大量文件需要修改，用编辑器的全局替换功能（比如VS Code的Ctrl+Shift+F），直接搜索硬编码的凭证内容，替换为对应的常量即可。操作前记得备份所有文件！

内容的提问来源于stack exchange，提问作者D J