为保存配置文件提供理由one level up from the web root （正如mrwweb所建议的）：几个月前，我们的生产服务器上的自动更新杀死了php，但让apache继续运行。所以每个来到主页的人都被提供了索引。php作为下载。理论上，任何知道这是WordPress网站的人都可以请求wp配置。php，并获得了它（如果它在web根目录中）。当然，只有在我们允许远程MySQL连接的情况下，他们才能使用这些DB凭据，但这并不酷。我知道这是一个边缘案例，但很容易让你的配置看不见，为什么不这样做呢？

除非有人可以通过FTP访问，否则您不必担心这一点。PHP在进入用户浏览器之前在服务器上呈现。

这里还有一个提示：保护wp配置。php（和任何其他敏感文件）的。htaccess

将以下内容添加到。所有其他WordPress文件所在的站点目录中的htaccess文件：

<Files wp-config.php>
order allow,deny
deny from all
</Files>

如果有人有权读取您的Php文件的内容，那么您已经被黑客攻击了。