Apenas responda:
Se o seu código tivesse que ser exposto ao público a qualquer momento, ele iria expor as credenciais?
Se você faz:
$login = 'usuario'
$senha = 'minhasenha';
Isso nunca será uma boa ideia, isso inclusive é chamado de hard-coded password e também tem os seus amigos, o hard-coded cryptographic key. Logico que armazenar no código a chave pública (capaz apenas de criptografar e verificar assinaturas) em geral não é má ideia, mas não é este o caso.
Uma das alternativas muito simples é utilizar o getenv()
que obtem um user environment variable, um exemplo:
$pdo = new \PDO(
'mysql;host=100.100.100.100;dbname=banco_de_dados',
getenv('MYSQL_USUARIO'),
getenv('MYSQL_SENHA')
);
$mysqli = new \mysqli('100.100.100.100',
getenv('MYSQL_USUARIO'),
getenv('MYSQL_SENHA'),
'banco_de_dados'
);
Obviamente é necessário defina a variável de ambiente no servidor de produção antes e apenas ele deve ter essa informação.
Isso também é feito para chaves de APIs, por exemplo:
$proof = hash_hmac('sha256', $fbToken, getenv('FACEBOOK_SECRET'));
$curl = curl_init('https://graph.facebook.com/me/accounts?appsecret_proof=' . $proof . '&access_token=' . $fbToken');
//...
Nota: o sha256
está definido direto no código por que é o único método suportado pelo Facebook.
Usando o getenv()
mesmo se o seu código for exposto tanto as senhas do banco de dados quanto a secret key do Facebook estão seguros, neste exemplo. Além disso é ideal que use servidores fisicamente distintos, um para o PHP e outro servidor para o MySQL.
Já se definir $senha_do_banco = '123456789'
seu o seu código exposto causará problemas bem maiores, dando as informações do banco de dados e chave da aplicação do Facebook.
Além disso o seu servidor de produção terá (e deve ter!) senhas diferentes do desenvolvimento. Uma vez a variável de ambiente é definida cada servidor terá senhas diferentes sem necessidade de alterar o código sempre.
Além disso, fazer isso:
index.php
include('conexao.php');
echo 'Você está no index';
É inútil, se o interpretador falhar (ou for forçado a falhar) o "usuário" pode ir em site.com/conexao.php
e vai obter as informações, embora que isso pode ser considerado "raro".
Colocar o arquivo em um local não acessível, seria menos pior usar:
index.php
include('../conexao.php');
echo 'Você está no index';
Recomendo que leia: