Ho dato un'occhiata a questa domanda: Qual è il modo giusto di archiviare le stringhe di connessione del database dal punto di vista della sicurezza?
E mi chiedo in particolare per la connessione a un database MySQL con PDO, come posso essere più sicuro?
Usa include o include_once per includere qualsiasi cosa in PHP.
<?php
include_once("/etc/out-of-htdocs/password.php");
?>
Il codice PHP può accedere ai file, che non sono accessibili tramite un URL. Questo è il vantaggio per la sicurezza.
In caso di configurazione miss del modulo PHP è possibile che ogni file PHP venga consegnato senza valutazione, il che significa che la password è leggibile in tutto il mondo per tutti. Se il file PHP non è accessibile tramite un URL, un problema di configurazione del modulo PHP non ha alcun impatto sulla sicurezza della password.
Voglio aggiungere alla domanda originale - forse c'è un modo per non memorizzare la vera password in un file? Solo per mantenere un hash in esso, quindi se i file PHP in qualche modo vengono scaricati, l'attaccante non può fare molto.
Penso che non sia un esempio errato, perché a volte non è possibile archiviare il file di configurazione dalla directory accessibile via FTP, che può essere facilmente forzato.
Leggi altre domande sui tag appsec