数据库密码别硬编码在代码里，提交公开仓库被扒，一周刷接口费了600块

新手做网站，数据库密码、API密钥直接写在PHP代码里，提交到公开git仓库，所有密钥全泄露，被人拿去刷接口费了几千块，其实配置文件单独管理，根本不会出这种事。第一，数据库密码、API密钥这些敏感配置，单独放一个config.php文件，别和代码混在一块，这个文件不提交到公开仓库，只存在自己服务器上；第二，配置文件权限设640，只有web用户能读，别的用户访问不了，爬虫也下不到；第三，别在前端代码里暴露后端的密钥，前端只能拿公开的key，后端的密钥全放后端配置文件里；第四，每次换服务器，先改配置里的密码，别直接把旧服务器的配置文件直接搬过去，旧密钥泄露了还在用。

我之前做小程序，把后端的APP密钥写在前端JS里，被人扒走，一周刷接口刷了600块，之后把所有密钥移到后端配置文件，前端只拿公开的key，再也没泄露过。很多新手把配置硬编码在代码里，公开仓库一提交，所有敏感信息全被爬虫扒走，单独把配置文件隔离开，就不会出这种低级错误。