Это нормальная практика. Если кто-то получит доступ к файлам на твоем сервере, то тебе уже будет неважно, найдет ли он в этом файле логин/пароль к БД или тупо сбросит рутовый пароль MySQL. Поэтому, отставить параною! Ты всё правильно делаешь.
Между вариантами я бы выбрал 1-ый, но разницы я большой не вижу.
P.s. Обычно файлик с доступами держат в папке, недоступной для веб-сервера. Посмотри, как это реализовано на примере фреймворка Yii (
https://github.com/yiisoft/yii2-app-basic). Веб-сервер смотрит только в папку web. Все остальное, в том числе папка config, для него не видно.