如何安全地存储我的网站配置文件？

Question

我有一个我的网站的config.php文件，我存储在可公开访问的网页目录之外，它包含我用于为该网站发送邮件和我的数据库连接凭证的g​​mail帐户的密码信息。我不喜欢将密码保存为纯文本变量的想法，并正在寻找一些方法来更安全地保存此数据。除了阻止对除我以外的用户的目录进行读取访问之外，我能做些什么来保护这些信息？

Answer 1

大多数时候您最终都会以纯文本格式保存。比方说，如果你想加密，那么解密密钥将不得不以纯文本等等保存。所以最好确保你的服务器是安全的。

Answer 2

取决于您要保护的内容。

1. 保持htdocs目录（webroot的目录）以外的文件通常是一个好主意，这样的文件不能被明确地从外面叫。 （I.E将浏览器指向它）。

2. 如果要在代码中保护$ var（即第三方恶意代码），您可以随时在变量消耗后取消设置变量，但我不知道这是否有很大区别。

3. 如果你想保护文件免遭可能“侵入”你的服务器的人，你可以做的事情不多。您可以随时设置文件权限，以便只有www-data（您的apache用户）可以读取它，但如果某人获得了对您计算机的root访问权限，那么您已经完全搞砸了。

不管怎么说，如果你的服务器是安全的（无根访问远程或只有通过公钥/私钥嘘，你不从公用电脑访问您的服务器，等...），你不使用第三方代码而不先检查它，然后将通行文件存储在webroot目录之外，我认为您尽可能安全。