Всем привет. Я в php новичок, поэтому задам наверное простые и очень глупые вопросы 

Имеется сайт, в котором все классы для работы с БД (так называемые ДАО), хранятся в директории classes. То есть если обращаться через доменное имя, то - www.domain_name.ru/classess/... Может ли как нибудь пользователь просмотреть содержимое этих файлов ? и как мне их защитить ? (там хранятся пароли, url к БД и т.п.).

Второе это sql инъекции ... я параметры не экранирую, но там где идут выборки по id, я привожу его к int. Пробовал подставлять в запросы ковычки, запятые и др.

И хотел спросить, может кто то сможет бегло протестить сайт на мелкие уязвимости ?   Просто сайт делал на заказ для знакомых, хотелось бы что бы было как меньше уязвимостей )

Заранее спасибо )

Сделайте такую структуру проекта:
- classes
- public_html

Входную точку поставьте в папку public_html (document_root), тогда из веба не попасть будет в classes, а из файлов public_html можно:


Добавлено через 1 минуту и 11 секунд

Где ожидается id - можно ограничиться таким приведением, а что вы делаете в остальных ситуациях? Если ничего - значит инъекции есть.

У меня примерно такая же струкрутра, А смогу я достучаться и получить содержимое файлов если буду обращаться вот так - www.domain_name.ru/public_html/classess/file_name.php ?

В остальных случая я экранирую еще с помощью mysql_escape_string, это поможет от SQL инъекций ?

http://www.php.net/manual/ru/security.php

Вы не поняли то, что я написал. document_root Устанавливается в папку public_html, таким образом www.domain_name.ru будет ссылаться на папку ./что-то/еще_что-то/public_html и подключить внутри нее файл из соседней папки classes можно просто сделав require '../classes/файл.php'


поможет, правда лучше использовать mysql_real_escape_string.

4epT, с точки зрения клиента, корень сайта - настроенный на web-сервере document root, за его пределы клиент обратиться не может.
php же работает на сервере и имеет непосредственный доступ к файловой системе, поэтому может обращаться к файлам за пределами document root (к любым файлам, на которые у него есть права).
Aliance вам советует вынести за эти пределы все файлы, к которым пользователь не должен иметь прямой доступ.

допустим корень сайта - /xxx/yyy/public_html
тогда адрес  www.domain.com/favicon.ico ведет к файлу /xxx/yyy/public_html/favicon.ico
если часть ваших скриптов лежит в /xxx/yyy/classes,
то к файлу /xxx/yyy/classes/myclass.php пользователь никак не может обратиться, но скрипт, скажем /xxx/yyy/public_html/index.php (он же www.domain.com/index.php), может использовать эти файлы:

если там нет прямо в потоке документа echo 'password'; , то содержимое этих файлов никто не увидит, так как вэб-сервер пропустит эти файлы через пхп-машину