config.php根目录黑客安全权限设置为644？

Question

我可以安全地将config.php放置在你的网站的根目录下，尽管它的权限设置为644？

Answer 1

只要没有人能够通过SSH或FTP访问您的服务器，并且您的网站上没有任何漏洞/安全漏洞可以让任何人访问PHP文件的来源，这应该是相当不错的。

请注意，您的Apache用户必须访问该文件（所以它可以包含在其他PHP脚本中）;所以，无论你在哪里，如果你有一个安全漏洞，允许用户读取PHP文件，它不会改变一件事情。

的想法可能是把该文件的文档根目录之外，或者通过.htaccess文件拒绝任何人访问受保护的目录里面 - 至少，这样一来，如果你的服务器没有得到很好的配置并显示PHP文件的源代码，该文件的内容将不会显示（因为它不能通过HTTP直接访问/服务）。

这不会在一个安全漏洞的情况下，允许PHP文件中显示的其他PHP文件内容帮助（我已经看到这种情况发生），但仍然是第一步。

Answer 2

你的config.php应该可以被你的web serevr读取，并且不会改变权限。 ，把它放在其他地方也无济于事 - 因为由于你的php代码应该能够读取它，任何设法在你的服务器上运行他的代码的黑客都能够读取它。

因此，不管你放在哪里，它都有被黑客攻击的危险，这些黑客设法破解你的服务器。把它放在web根目录上比放在其他任何地方都没有多少安全性。