Noch besser: die Daten "splitten" und in Datenbank und Datei ablegen. So dass der "Angreifer" Zugriff auf beides haben muss, um sie zu benutzen.
Hier kommt dann Verschlüsseln ins Spiel:
In der Datenbank legt man das verschlüsselte EF Passwort ab (bspw. AES, dann kann man das direkt in MySQL (https://dev.mysql.com/doc/refman/4.1...on_aes-decrypt) machen, PHP braucht afaik Module wie mcrypt zum Verschlüsseln, die ein Shared-Hoster evtl. nicht anbietet), in der Datei den Schlüssel.