如何保护PbootCMS的数据库密码安全？

保护PbootCMS数据库密码安全，核心是通过文件权限加固、敏感目录隐藏、后台入口防护等手段，避免数据库连接密码泄露或被恶意利用。以下是具体可落地的防护方案：
一、核心配置文件权限加固

‌设置文件权限‌：将 /config/database.php 的权限设置为 ‌644‌，禁止其他用户写入，避免被篡改。
‌目录权限收紧‌：将 /config 目录权限设置为 ‌755‌，仅允许所有者修改，禁止公共用户写入。
‌禁止Web直接访问‌：在Nginx/Apache配置中添加规则，拦截外部直接访问 database.php 的请求，防止敏感信息泄露。

二、敏感目录与文件隐藏

‌重命名数据目录‌：将默认的 /data 目录修改为随机复杂名称（如 daj4oy7fd），同步修改 database.php 中对应的数据库路径配置。
‌修改后台入口‌：将默认的 admin.php 重命名为随机复杂文件名（如 xxx222.php），避免攻击者通过默认路径暴力破解后台。
‌删除冗余文件‌：删除安装包自带的 /doc、/rewrite、api.php 等非必要文件，减少暴露面。

三、目录权限精细化管控

‌全局目录只读‌：将网站根目录 wwwroot 设置为只读，仅对必要目录单独开放读写权限。
‌定向开放读写‌：仅将重命名后的 data 目录、runtime、static、uploads 等目录设置为可读可写，其余目录保持只读。
‌开启目录保护‌：在虚拟主机/服务器控制面板中，对 /static、/template、/runtime 等目录开启目录保护，禁止非法遍历。
‌核心目录锁定‌：将 core、apps、template 等核心目录设置为 ‌555 禁止写入权限‌，防止被植入木马篡改配置。

四、密码本身的安全策略

‌使用高强度密码‌：数据库连接密码和后台管理员密码，均设置为包含大小写字母、数字、特殊符号的16位以上复杂字符串。
‌避免复用密码‌：数据库密码不要和后台登录密码、FTP密码、服务器密码复用，降低多站点联动泄露风险。
‌定期更换密码‌：每3-6个月更换一次数据库密码，更换后同步更新 database.php 配置并清空 runtime 缓存。

五、额外安全防护

‌关闭不必要功能‌：如果网站不需要留言、API等功能，直接在后台关闭对应模块，减少注入攻击入口。
‌定期备份数据库‌：设置自动定时备份数据库文件，备份文件存储在Web目录之外，防止被攻击者删除。
‌升级到最新版本‌：及时将PbootCMS升级到官方最新版本，修补已知的安全漏洞，避免旧版本漏洞导致密码泄露。