网站配置文件安全咨询：public_html下login.php数据库凭据防护方案

首先得说，把login.php放在public_html目录下本身就藏着不小的风险——这是Web服务器对外暴露的根目录，任何人只要猜到或知道文件名，就有可能直接访问到里面的敏感信息。下面是我整理的几个优先级从高到低的安全方案，按这个顺序来准没错：

• 核心原则：把敏感文件移到Web根目录之外
  这是最彻底的解决办法。比如你的public_html路径是/var/www/html/，那直接把login.php放到/var/www/（上级目录），然后在业务脚本里用绝对路径引入就行：

  require_once '/var/www/login.php';
  

  这样Web服务器根本不会对外暴露这个文件，只有PHP进程能读取，安全性直接拉满。

• 如果无法移动文件，用Web服务器配置禁止外部访问
  有些主机可能限制你访问Web根目录外的文件，那可以通过配置拦截外部对login.php的访问：

  • 对于Apache服务器：在public_html下创建或修改.htaccess文件，添加以下内容：

    <Files "login.php">
        Require all denied
    </Files>
    

  • 对于Nginx服务器：在站点配置中添加这段规则：

    location ~* /login.php {
        deny all;
        return 404;
    }
    

  这样外部访问这个文件时，会返回403或404，完全看不到文件内容。

• 严格设置文件权限
  不管文件最终放在哪，都要给它设置最小权限。用命令行执行：

  chmod 600 /path/to/login.php
  

  这个权限意味着只有文件的所有者能读和写，其他用户（包括服务器上的其他进程）都没有访问权限。注意要确保Web服务器的运行用户（比如www-data）是这个文件的所有者，不然PHP脚本会读不到它。

• 避免明文存储，改用环境变量托管凭据
  别在login.php里写死数据库用户名和密码，改用环境变量来存储更安全：

  • 比如在Apache的.htaccess里添加：

    SetEnv DB_HOST "localhost"
    SetEnv DB_USER "your_db_user"
    SetEnv DB_PASS "your_db_password"
    

  • 然后在脚本里通过getenv()获取这些值：

    $dbHost = getenv('DB_HOST');
    $dbUser = getenv('DB_USER');
    $dbPass = getenv('DB_PASS');
    

  也可以直接在PHP的php.ini文件里设置环境变量，这样凭据完全脱离业务文件，泄露风险更低。

• 额外防护：避免意外输出内容
  在login.php里，开头直接写<?php，不要加任何空白字符，结尾也不要写?>——这样就算万一有人真的访问到了这个文件，PHP解析器执行后也只会返回空白页，不会泄露任何凭据内容。

最后再啰嗦一句：永远不要把包含敏感信息的文件放在Web可访问的目录里，这是Web开发最基本的安全底线。

内容的提问来源于stack exchange，提问作者datasci