服务器上的PHP源代码安全性

Question

我是一个PHP新手,并有一个PHP安全问题.是否有人可以获得在具有默认配置的服务器上运行的php脚本文件的源代码？如果是这样,最好的保护方式是什么？我问这个是因为当我从网站请求页面时,我碰巧下载了一个php文件,这引发了我的担忧.我认为也许apache配置错了,并把这个文件作为一个简单的文件提供给我,但我不确定.另外,保留"敏​​感"数据(如数据库或smtp配置)的最佳位置是什么？

谢谢,Alex

Answer 1

对于最敏感的信息,我建议将其放在您的Web根文件夹之外,并通过"require"或"include"包含它.这样,即使某些配置在服务器上出现问题,访问者也只能获得"include('secret_stuff.php');"行的服务.而不是实际的脚本.

Answer 2

如果服务器未配置为处理 PHP 文件，那么它将像任何其他未知文件一样对待它们（并将它们作为text/plain或application/octet-stream.

据我所知，PHP 支持始终作为扩展或外部程序（对于 CGI、FastCGI 等）提供，而不是作为 HTTP 服务器的内置程序提供。