Aサーバーで、DB接続用パスワード等の管理方法

Question

データベースに接続する際、データの削除や書き換え等、重要な処理は特定の権限を持ったユーザで処理をさせたいとき、サーバーでは特定の権限を持ったユーザでデータベースに接続し処理をすると思います。

この時、この特定の権限を持ったユーザ情報を格納する場所について質問です。

以下３つのファイルがあるとします

コードA //クライアントからのPOSTを受け取る

コードB //データベース接続のための情報が入っている

コードC //データベース接続処理

ここでクライアントからリクエストを受け取ったとき、コードAでリクエストを受け取り、コードBから情報を取ってコードCに流す、、、といった実装をしたいとします。（コードAとCは同じコード内に記載してもいいですが、見やすいためこうしています）

この場合、コードBを隠蔽するには、コードBをドキュメントルートとは別のディレクトリに格納し、コードA内では /../..といったディレクトリの階層状況だけを記したファイルパスを定義したとし、そこからDB接続のための情報を読み取るとします。

このような実装はセキュリティ的な面で問題は有りませんでしょうか？アドバイスをお願いいたします

Answer 1

パスワードに限らず、そもそもエントリポイント以外はドキュメントルートから外しておくべきです。