[PaterNoster]

Da sieht man doch mal, wie wichtig es ist, dass z. B. keine Passwörter im Klartext gespeichert werden. Beim Aufrufen der Seite www.macup.com erhielt man heute morgen die PHP-Seite in der Code-Ansicht:



Warum das jetzt so passiert ist - keine Ahnung, aber wenn der Provider auf einmal irgendwie Mist baut, kann das ziemlich in die Hose gehen. Steht zwar jetzt nichts "gefährliches" drin, aber wenn man nur ein kleines bisschen geschludert hat, auch eine Sicherheitslücke.

[schifti]

Oder der "Admin" hat via .htaccess PHP-Dateien "AddType text/html .php" zugewiesen

[Ben]

Besonders gut finde ich die Variable $polleralarm. *gg*

[Bookworm]

@PaterNoster: Toll, irgendwo musst du die Kennwörter aber speichern. Und wenns in ner Datenbank ist, brauchst du auch dafür Passwörter.... Deswegen sehe ich da wenig Chancen, noch viel versteckt zu halten, wenn der Parser ausfällt...

[robo47]

Zitat von Bookworm

@PaterNoster: Toll, irgendwo musst du die Kennwörter aber speichern. Und wenns in ner Datenbank ist, brauchst du auch dafür Passwörter.... Deswegen sehe ich da wenig Chancen, noch viel versteckt zu halten, wenn der Parser ausfällt...

einfach unterhalb des document-root, da kommt man ned ran, erstrecht ned wenn der parser nimmer tut!
oder in ein verzeichnis das via htaccess geschützt ist.

[suppenmann]

ich hab das so gelöst, dass ich in das Verzeichnis, wo die Passwortdatei für mySQL ist, folgende htaccess hinzuzufügen:

<Files xy.php>
Deny from all
</Files>

Dadurch kann sie mit dem Browser nicht mehr geöffnet werden und nur noch der PHP-Parser und der FTP-Server haben noch Zugriff drauf.

[schifti]

Wenn jetzt aber der Admin z.B. den .htaccess Name von .ht~ abändert oder du auf eine IIS zieht, hat man auch wieder Zugriff darauf.
Ausserhalb des DocumentRoots ist immer noch die beste Lösung (wenn es erlaubt ist, kann man dann auch kompfortable mit SymLinks arbeiten).

Auf jeden Fall als xx.inc.php speichern und ausserhalb von DR => beste Lösung

[ex³]

Der Code ist ein bisschen komisch oder? Überall die Abfang @s. Noch nicht mal mysql_error(); Und was soll das if else mit klammer und verketten? Kann man das nicht gescheit formulieren? Außerdem seh ich hier nirgends "new".

Ansonsten hab auch ich alles unterm webroot. Originalbilder, templates, cache, config. Ist vielleicht ein bisschen Einstellungssache wobei ich das mit .htaccess auch nicht verkehrt finde.

[MrNiceGuy]

Wenn man auf einem Webspace sitzt, ist man IMMER vo Provider abhängig, da hilft es unter Umständen auch nicht, Dateien außerhalb des DocRoot zu lagern, wer weiß, wo der Provider nach dem Umzug die Dateien speichert!?