Итак был вопрос
  .........
  Есть у нас php скрипт, который обращается к MYSQL БД.
  Если мы впишем в скрипт, условно говоря, root mysql'я,
  то можем ли мы рассчитывать на безопасность действий (адекватность
  и однозначность написанных операций) с БД?
  Можем ли мы рассчитывать на безопасное хранение пароля в пхп-скрипте?
  ........

1) Лучше создать еще одного пользователя в базе mysql и урезать ему права..   -

2) Все поключения к базе из PHP осуществлять через так называемые
  конфигурационные файлы. Отсюдова подробнее.

Итак для доступа в mySQL через PHP создаем файлы дополнительные
  (конфигурационные) файлы
  setup.php & config.php

File setup.php
  <?
  $dbName="dbName";
  $dbUser="dbuser";
  $dbPass="dbuserpass";
  $dbServer="dbserver";
  $adminmail="твое\@мыло";
  ?>
  enf of file
  далее создаем файл config.php
  File config.php
  <?
  function db_err($handle, $message) {
  printf("%s: %d: %s\n", $message,
  mysql_errno($handle),mysql_error($handle));
  die();
  }

function db_connect() {

global $dbName,$dbUser,$dbPass,$dbServer;
  $dbh = mysql_connect($dbServer,$dbUser,$dbPass);
  if(!$dbh) { db_err($dbh, "mysql_connect"); }
  $res = mysql_select_db($dbName);
  if(!$res) { db_err($dbh, "mysql_select_db"); }
  return($dbh);

}

?>
  end of file

потом выносим эти файлы за пределы сервера, и наконец подключаем эти файлы   в
  тех файлах где будем работать с базой.

<?
  require("ваш_путь/setup.php");
  require("ваш_путь/config.php");
  ?>

и в конечном итоге получаем красивый и вполне безопастный код.

$dbc=db_connect();
  $query = "SELECT .................";
  $result = mysql_query($query,$dbc);

--------------------------------------------------------------------------------

  Как защитить /etc/passwd от просмотра?
  PHPClub

В конфигурационном файле сервера Apache, в контексте соответствующей
  директивы <Directory> указать(или в .htaccess):

php_admin_value open_basedir /home/null/www/htdocs
  php_admin_value doc_root /home/null/www/htdocs

  --------------------------------------------------------------------------------

  инклуды (.inc)
  AnToXa

часто приходится хранить всякие везде-используемые данные/функции в отдельных
  файлах, и потом подключать,
  используя include[_once]/require[_once].

но эти файлы обычно не парсятся сервером, т.е. их можно смотреть через
  браузер, этого мы и хотим избежать.
  давать таким файлам расширение .php не очень правильно, т.к. их можно вызвать
  через браузер, и,
  хотя мы и не увидим содержимое, но, наверняка, у нас начнут вылазить
  какие-либо ошибки PHP,
  т.к. код внутри файлов обычно расчитан на исполнеие в определенном
  окружении(наличие коннекта к базе/
  чтение файлов/определенные значения констант/переменных).

есть 2 выхода по сути похожих
  1. поместить все .inc файлы за пределами DOCUMENT_ROOT Apache
  2. написать .htaccess чтобы запретить доступ ко всем файлам с определенными
  расширениями
  Пример.
  <FilesMatch "\.(inc|sql|...другие расширения...)$">
  order deny,allow
  # запретить доступ отовсюду
  deny from all
  #разрешить доступ с вашего ip(если он у вас, конечно, статический)
  allow from <ваш ip>
  </FilesMatch>

  --------------------------------------------------------------------------------

Автор: Дмитрий Рождественский
Источник: articles.org.ru