我目前正在为我教会的大学团体使用一个网站，并且开始对我所写内容的安全性有些担心。例如，我使用以下功能：

function dbConnect() 
  {
  global $dbcon;

  $dbInfo['server'] = "localhost";
  $dbInfo['database'] = "users";
  $dbInfo['username'] = "root";
  $dbInfo['password'] = "password";

  $con = "mysql:host=" . $dbInfo['server'] . "; dbname=" . $dbInfo['database'];
  $dbcon = new PDO($con, $dbInfo['username'], $dbInfo['password']);
  $dbcon->setAttribute(PDO::ATTR_ERRMODE, PDO::ERRMODE_EXCEPTION);
  $error = $dbcon->errorInfo();

  if($error[0] != "") 
    {
    print "<p>DATABASE CONNECTION ERROR:</p>";
    print_r($error);
    }
  }

每当我进行某种查询时就连接到数据库。我总是使用PDO准备好的语句来防止任何用户输入的SQL注入，并且我使用htmlspecialchars进行转义，然后再输出。我的问题是：
如何保护数据库的用户名和密码？ 我不知道是否有人可以查看我的PHP文件的源，但如果可以，我只能想象我会被缠住。我该怎么办？