网站配置文件是否应隐藏？禁止外部访问如.htaccess保护

问题原因：
网站配置文件（如 .htaccess、wp-config.php）通常包含敏感信息（数据库凭证、API密钥），暴露会导致以下风险：

解决方法：

风险类型	防护措施
文件直接访问	通过 `.htaccess` 添加 `Deny from all`；或设置文件权限为 `600`（仅所有者可读写）。
目录列表暴露	在配置文件中禁用 `Indexes` 选项（如 `Options -Indexes`）。
敏感信息硬编码	将配置移至环境变量；使用 `php.ini` 的 `auto_prepend_file` 加载动态配置。
Web 服务器默认规则	在 Nginx 中通过 `location ~ /\.ht { deny all; }` 阻止访问隐藏文件。
备份文件泄露	禁止 `.bak`、`.old` 等后缀文件访问；定期清理冗余文件。