質問: ユーザ情報などを格納し、PHPやJSから参照できる設定ファイルを作成したいと思っています。 その場合、WEB上に公開されてもPHPやJSが公開されても、外部から設定ファイルが見えないようにすることは可能でしょうか。
回答: phpやjsらを置く公開ディレクトリの下には絶対に置かない、に尽きます。 例えば公開ディレクトリが /var/www/html/ だとすると、 /var/www/ に別の名前のディレクトリを設けるとか。 あるいは、/var/www/html/の下にdataなどを作って置かなければならない場合は、 .htaccessを工夫してユーザー認証しないと見られないようにbasic認証を設ける方法もありますが、 ユーザー名/パスワードの管理が必要になります。 いまさらながら、Basic認証のつけかた - Qiita 関連記事: IPA ISEC セキュア・プログラミング講座:Webアプリケーション編 第5章 暴露対策:Webサーバからのファイル流出対策 なお、phpはwebサーバー上で動作する言語ですが、 jsはwebクライアント(webブラウザ)上で動作する言語なので、 js上で利用するデータファイルは公開ディレクトリ以下に置かないと利用できません。 jsに渡すデータをphpで予め加工して必要最小限にした上で引き渡す工夫が必要ではないかと。 (jsから読み込みデータを、phpが出力するjsonとして提供して、jsではajaxで読み込むなど。)