• Praktykuj ogólnie dobre bezpieczeństwo haseł (nie używaj słów ze słownika itp.)
• Dobrą praktyką jest nazywanie pliku rozszerzeniem .php, tak jak to zrobiłeś, ponieważ wtedy serwer sieciowy prawdopodobnie nie zostanie oszukany do obsługi pliku jako zwykłego tekstu.
• Upewnij się, że plik config.php jest przechowywany poza katalogiem głównym. Oznacza to, że jeśli coś pójdzie nie tak z konfiguracją twojego serwera i zacznie on udostępniać pliki PHP w postaci zwykłego tekstu, nie ujawnisz hasła do bazy danych (ponieważ nikt nie będzie mógł zażądać config.php).
• Upewnij się, że poświadczenia bazy danych są odpowiednio nazwanymi stałymi, a nie zmiennymi. Dzięki temu jest mniej prawdopodobne, że możesz w jakiś sposób ich użyć niewłaściwie (na przykład, jeśli hasło to $password zamiast DB_PASSWORD możesz coś zrobić z $password zmienna w zasięgu globalnym, zapominając, że jest używana - mało prawdopodobne, ale mała możliwość).