HTTP服务器上脚本的可见性

Question

如果我有一个包含各种HTML页面和各种PHP（或其他）脚本的http服务器，那么如果我尝试查看代码（如在Chrome的View源工具中），则不会显示PHP代码，这就像好。我想知道窥探眼睛的安全性是多么安全？将密码硬编码到脚本中是否安全？

Answer 1

保持密码永远不会100％安全，特别是在您的服务器上 如果你必须在脚本中保存密码 - 将它们保存在不在公共目录中的文件中（用户无法在浏览器中访问）。

Answer 2

只有将脚本以某种方式视为“非PHP”并将其作为原始文本提供时，才能使您的PHP代码暴露出来。如果您的服务器配置正确，那么代码对于基于Web的泄漏是“安全的”。

话虽如此，最好将保留私有的关键信息（用户名/密码，配置变量，数据库DSN等）放在一个单独的文件中，该文件保留在站点文档根目录的外部。这样，即使PHP在服务器上被破坏/禁用，所有用户都会看到

<?php
   include('critical_data_here.php');
?>

而不是

<?php
$username = 'root';
$password = 'password';
$lotto_ticket_worth_50million = 'under the left couch cushion at 221B Baker Street';
?>

Answer 3

<?php
$password = "password";
?>

保存，直到你加载了PHP模块。

<span>$password = "password";</span>

不安全且不起作用