WordPress 数据库连接的用户名和密码是已明文形式在 wp-config.php 文件里保存着的，这无疑是一个很大的安全隐患，万一数据库密码泄漏出去了，不怀好意的人就可以对你的网站为所欲为了。
1、移动 wp-config.php 文件的存放位置
wp-config.php 文件默认是在网站根目录保存的，把这个文件移动到别的位置就可以解决到这个隐患，WordPress 默认会在网站根目录寻找这个文件，如果没有找到，会继续往上层目录寻找。知道了这点，我们就可以把 wp-config.php 文件移动到 WordPress 站点根目录的上层目录，就算别人知道了你的 FTP 密码，在网站里也找不到数据库配置信息。
安全起见，建议在 WordPress 根目录创建一个 wp-config 配置文件，然后把真实的 wp-config.php 文件的位置包含进来，如下：
define('ABSPATH', dirname(__FILE__) . '/');
require_once(ABSPATH . '../path/to/wp-config.php');
2、通过 .htaccess 文件限制访问 WordPress 配置文件
如果你能编辑 .htaccess 文件，我们还可以通过使用使用 .htaccess 文件限制用户访问，在真实 wp-config.php 配置文件目录下创建 .htaccess 文件，加入如下代码：
order allow,deny
deny from all
至此，WordPress 的配置文件就安全了，整个网站的安全性也就有了很大的提升。
