绝大多数Web应用程序都使用硬编码的用户名/密码进行SQL连接。通常不赞成将生产凭证检查到源代码控制中，或者赋予实习生删除生产数据库的能力。生产凭证应受到保护，只有特权员工才能访问它们。
Web应用程序通常会泄漏其配置文件。例如，如果.xml文件存储在webroot中，则可以远程访问它：
http://localhost/configs/db_config.xml。
通常的做法是禁止访问数据库（对于mysql，阻止tcp端口3306）。实际上，这是PCI-DSS的要求。即使要获取用户名和密码，也将毫无用处。
