config.php根目錄黑客安全權限設置爲644？

Question

我可以安全地將config.php放置在你的網站的根目錄下，儘管它的權限設置爲644？

Answer 1

只要沒有人能夠通過SSH或FTP訪問您的服務器，並且您的網站上沒有任何漏洞/安全漏洞可以讓任何人訪問PHP文件的來源，這應該是相當不錯的。

請注意，您的Apache用戶必須訪問該文件（所以它可以包含在其他PHP腳本中）;所以，無論你在哪裏，如果你有一個安全漏洞，允許用戶讀取PHP文件，它不會改變一件事情。

的想法可能是把該文件的文檔根目錄之外，或者通過.htaccess文件拒絕任何人訪問受保護的目錄裏面 - 至少，這樣一來，如果你的服務器沒有得到很好的配置並顯示PHP文件的源代碼，該文件的內容將不會顯示（因爲它不能通過HTTP直接訪問/服務）。

這不會在一個安全漏洞的情況下，允許PHP文件中顯示的其他PHP文件內容幫助（我已經看到這種情況發生），但仍然是第一步。

Answer 2

你的config.php應該可以被你的web serevr讀取，並且不會改變權限。 ，把它放在其他地方也無濟於事 - 因爲由於你的php代碼應該能夠讀取它，任何設法在你的服務器上運行他的代碼的黑客都能夠讀取它。

因此，不管你放在哪裏，它都有被黑客攻擊的危險，這些黑客設法破解你的服務器。把它放在web根目錄上比放在其他任何地方都沒有多少安全性。