配置文件存在web目录下，明文存着数据库密码，被人直接下载拖走全站数据

之前项目把数据库配置文件直接存在网站根目录里，里面明文写着数据库账号密码，结果有人猜路径直接下载了这个配置文件，拿着密码远程登录数据库，把全站数据全拖走，我赶紧把配置文件挪到web目录外面，重新改了数据库密码，才堵住漏洞。 很多新手做项目，把数据库配置文件直接存在网站web目录里，里面明文写着账号密码，别人猜路径就能直接下载，拿着密码把你整个数据库拖走。真的，数据库配置文件一定要放在web目录外面，不能被用户直接访问下载，不然密码全泄露，数据全没。