数据库密码别明文写根目录配置文件，被人下载走，整个数据库全被拖走

新手做网站，数据库账号密码直接写在根目录的config.php里，结果网站有个漏洞，黑客直接把这个文件下载走，数据库密码全泄露，其实配置文件做好安全处理，根本不会出这种问题。第一，配置文件别放在网站根目录里，放根目录上一级的路径，就算网站有文件读取漏洞，黑客也读不到配置文件；第二，配置文件里别明文存密码，做个简单加密，就算文件被拿到，也看不到明文密码；第三，关闭配置文件的访问权限，在Nginx里配置，访问config.php直接返回403，不让外网用户下载；第四，别把配置文件提交到公开的Git仓库，很多新手把整个项目传到GitHub，数据库密码全公开，被人扫到直接拖库。

我之前第一次做项目，把配置文件传到公开Git，三天就发现数据库有异地登录，赶紧改密码，之后配置文件全放网站根目录外面，加了.gitignore，再也没泄露过。很多新手觉得配置文件就是自己看的，随便扔根目录，一个小漏洞就把敏感信息全漏，花两分钟把配置文件挪到外面，加访问限制，安全多了。