phpファイルのダウンロードとセキュリティについて

質問

はじめまして、PHPを勉強中の鏑木といいます。

現在phpを使ったサイトを作っており、もうすぐ公開というところまでたどり着きました。テストのため色々なブラウザを使ってサイトを見ていたところ、safariで構成ファイルの一覧という機能を見つけました。
ここにはページを構成するファイルが表示されており、php内部でインクルードしている設定ファイルなどのパスもかかれています。

ちょっと不安になって、ダウンロードソフトでPHPファイルのパスを指定してDLしてみました。
結果、内容は文字化けしていて解読できませんでした。（文字コードをかえても同じでした）

類似する質問を調べたところ、これはPHPが吐き出した何らかの処理?とのことで、ソースの内容はダウンロードできないとのことだったのですが、心配になり質問させていただきました。

PHPファイルは基本的にDLされ、中のソースを見られることはないのでしょうか？もしDLされてしまう可能性があるとしたら、それを回避するような対秘策はあるのでしょうか？

実際にPHPを使われているみなさんはどんなセキュリティ対策を行っているのか、よろしければご指導いただけないでしょうか。

よろしくお願いいたします。

回答No.3

altrn

さきほど回答したものです。せっかくなので補足させてください。
（あと、ataru2さんはGDなどを使われているようで、先ほどの回答は少し「知ってるさそんなの」といったレベルのものだったかも知れません。失礼しました。）

基本的には、
「外部からアクセスされることのない(はずの)ファイルは.htaccessでdeny from allしておく」
の方針でいい（十分だ）と思います。ですので、設計段階からできるだけ、
「外部からアクセスするファイル」と「それ以外」を
ディレクトリまたは拡張子で区別できるようにしておくと、.htaccessの設定が簡潔ですみます。

ですので、ここまでこだわる必要はないかと思いますが、
「わかりやすい・予想しやすい名前」を心配に思うのであれば、
その上位ディレクトリを、「予想しにくい名前」にしておけば十分かと思います。
some_password/mysql.iniといった形です。
ただこの場合は、mysql.iniファイルへのアクセスをdeny from allするか、.iniすべてをdenyするか、あるいはこれが入っているフォルダに.htaccessをおいてdenyするか、あるいは先ほどは書き漏らしましたが、最上位層に

RewriteRule ^(アクセス禁止のディレクトリ) - [F,L]

と書いた.htaccessをおいてdenyすれば十分以上だと思います。