Ein paar Anfägerfragen vor einem PHP-Projekt

[akdes]

Hallo Team!

Da ich kurz vor einem größeren (für mich) Projekt bin, habe ich eine paar Fragen, bevor ich alles falsch mache.

1. Projektstruktur

hosting/projects/projectname/
--config
----database.php //MySQL Verbindungsdaten
--func
----getProduct.php
----getSomeFoo.php
----...
--js
----func.js
--www
----index.php/html 
----css //Ordner
----i //Ordner für die Style-Bilder
----uimages // Bilder für Blog-Einträge, Produktbilder, was hochgeladen wurde
...

MyDomain wird auf hosting/projects/projectname/www zeigen

nun die Frage:
Komme ich von der index.html/php auf die Js-Datei, die eine Stufe höher liegt? also

<script src="../js/func.js" type="text/javascript"></script>

würde es gehen?
wie führe ich ein js-XMLHttpRequest auf die PHP-Datei "getSomeFoo.php"?

xmlhttp.open("GET","getSomeFoo.php?foo="+bar, true);

würde dies gehen?

Habt Ihr noch Sicherheitsrelevante/Praktische Anmerkungen, wie man die Struktur besser machen sollte/könnte?

2. Habt Ihr eine gute Sammlung von Sicherheitsempfehlungen beim PHP-Proggen? Also sowas wie "nie ein String direkt in SQL packen" usw.? Am besten aktuell, und mit meisten "Problemen".

3. Wie soll man am besten die DB-Daten definieren, habe verschiedene Möglichkeiten gesehen, wie: define, ein Array, oder ein Object mit Verbindungsdaten. Was spricht wofür?


Vielen Dank im Voraus!

[Unlikus]

Wenn es wirklich was größeres ist, guck dir mal MVC an.
Datenbank eigentlich immer als mysqli oder pdo Obejct.
Und ich persönlich genieße schon lange den Luxus eines php Framework, meine erste Wahl ist Phalcon, aber es gibt zig andere gute

[tkausl]

1: Nein, Nein, Garnicht, nein. Dateien die von Web erreichbar sein sollen gehören ins Web-Verzeichnis (hier: www), alles andere außerhalb.

2: Das würde den Rahmen sprengen.

3: Was immer dich glücklich macht. Ein Array in einer Config-Datei ist wohl am einfachsten.

[hausl]

2. Habt Ihr eine gute Sammlung von Sicherheitsempfehlungen beim PHP-Proggen? Also sowas wie "nie ein String direkt in SQL packen" usw.? Am besten aktuell, und mit meisten "Problemen".

Lesestoff aus der "hauseigenen" Wissenssammlung:

http://php-de.github.io/#security
http://php-de.github.io/jumpto/sicherheit/

LG

[akdes]

Danke euch allen, für die Wertvolle Tipps!
2Unlikus, Ich habe mir auch überlegt, aber aufgrund von wenig Zeit für diesen Projekt, und nach ein paar Versuchungen, in Framework-Welt einzusteigen (gescheitert), mache ich es ohne.
Phalcon schaue ich mir trotzdem später an, danke!