PHPからMysqlにPDOで接続するときパスワードやユーザー名を直接書かないようにしたい

Question

前提・実現したいこと

PHPを使用してSQLに接続して遊んでいたのですが、phpファイルに直接パスワードやユーザー名、データベース名を直接書き込んでいるのはセキュリティ的にいかがなものかと気になっています。
そこで質問なのですが
１．この状態でもセキュリティ的には問題ないのでしょうか？
２．問題があるのであれば、この状態を解決するにはどのような方法がありますか？できるだけわかりやすく教えていただけると幸いです。

よろしくお願いします。

該当のソースコード

ソースコード
<?php
header("Content-type: text/html; charset=utf-8");
 
if(empty($_POST)) {
	header("Location: pdo_search_form.html");
	exit();
}else{
	//名前入力判定
	if (!isset($_POST['CN'])  || $_POST['CN'] === "" ){
		$errors['name'] = "名前が入力されていません。";
	}
}
 
if(count($errors) === 0){
	
	$dsn = 'mysql:host=localhost;dbname=newregister;charset=utf8';
	$user = 'root';
	$password = 'root';
 
	try{
		$dbh = new PDO($dsn, $user, $password);
		$statement = $dbh->prepare("SELECT * FROM users WHERE CN LIKE (:name) ");
	...

試したこと

すいません。思いつきませんでした。

補足情報（FW/ツールのバージョンなど）

MAMPを使っています。

Answer 1

１．この状態でもセキュリティ的には問題ないのでしょうか？

実行環境(本番環境)においてはおおよそ問題になりません。
＊問題になる場合はコードを読むことが可能な状況まで侵入されているため、手遅れです。

２．問題があるのであれば、この状態を解決するにはどのような方法がありますか？できるだけわかりやすく教えていただけると幸いです。

実行環境以外で問題になるケースがあります。
例えば、バージョン管理ツールに github 等の外部サービスを使用していて、誤って公開してしまった場合、接続先情報が漏れてしまいます。対策としては以下の通り。
・環境変数に記述する
・外部サービスの公開設定を間違えない

Comments

[退会済みユーザー]

ちゃんと怖い話も添付してあげないと?

https://qiita.com/koyama9876/items/add70cba3cccdb7fa995　
9000万円の請求ｗ

[退会済みユーザー]

その記事にもコメントしてるけど、個別対応を無許可で外部に晒す神経が理解できないんで紹介したくない！ｗ

[退会済みユーザー]

まあ、あの程度はまだましな方。
メールの原文公開（個人名等は海苔付けされてるが）して同じことをいってるサイトもある。

[rikue]

回答ありがとうございます。ctrl+Uでページのソースが見れることを知っていたので、てっきりパスワードとかも外部から見れるようになると思っていました...
そこで、もう一つ質問なんですが、＜？PHPの部分はctrl+Uでは見れないという認識でいいのでしょうか？

[退会済みユーザー]

やってみると良いですよ。

[rikue]

やってみました！
なんだか出で来ないのが不思議な気持ちです。
te2jiさんからすると初歩的な事だったでしょうが、回答してもらえてよかったです。
ありがとうございました。

[rikue]

すいません、ふと気になったのですが、本番環境で問題になるケースとはどのような場合なのでしょう？
管理画面に侵入されたときでしょうか？
お礼を言った後ですいません。

[m.ts10806]

>なんだか出で来ないのが不思議な気持ちです。

ブラウザが見ているのはphpの出力が書かれた箇所のみだからです。

[退会済みユーザー]

> 本番環境で問題になるケースとはどのような場合なのでしょう？

回答にも書きましたが、コードを読むことが可能な状況まで侵入されると問題が発生します。(ただし、一般的には DB にも接続制限をしているはずなので、コードが読まれる=DB 接続が可能 というわけでも無いですが)