Yii应用密钥需手动配置在config/web.php的components'security'或main-local.php中，生产环境禁用文件写权限时默认自动生成会失败；必须用base64_encode(random_bytes(32))生成32字节安全字符串。
Yii应用密钥在哪设置
Yii应用密钥（YII_ENV 无关，但影响加密安全）实际是 yii\base\Application 初始化时用的 $key 属性，它不叫“密钥”而是 cookieValidationKey 或 authKey，真正起作用的是配置项 'key' => '...' 在 components['security'] 中。默认情况下，Yii 2.0+ 的 config/web.php 里不会显式写这个值，而是靠 Security::generateRandomKey() 自动生成并缓存——但首次运行若没生成，会导致 Invalid Configuration – yii\base\InvalidConfigException 错误。
必须手动设置的位置只有两个：
-
config/web.php中'components' => ['security' => ['key' => 'your-32-byte-random-string']] - 或更常见的是在
config/main-local.php（本地开发）或config/params-local.php中定义Yii::$app->security->key，再在主配置中引用
为什么不能用默认生成的key
默认行为是调用 Security::generateRandomKey() 并尝试写入 @runtime/security.key 文件。问题在于：
- 生产环境常禁用文件写权限，导致首次请求失败并抛出
Failed to write security key file - 多实例部署时，各服务器生成的 key 不一致 →
CSRF token mismatch、Invalid cookie data、Unable to verify data -
generateRandomKey()返回的是 32 字节字符串（不是 base64），直接 echo 出来可能含不可见字符，复制粘贴易出错
正确做法：用 bin/yii serve 启动前，先执行 php -r "echo base64_encode(random_bytes(32)).PHP_EOL;" 生成可安全复制的字符串，再填入配置。
立即学习“PHP免费学习笔记（深入）”；
Yii 2 和 Yii 3 的 key 使用差异
Yii 2 中 security.key 主要用于 encrypt()/decrypt()、cookie 签名、密码重置链接签名；Yii 3 则把加密逻辑下沉到 yiisoft/crypto 包，Security 类不再暴露 key 属性，改由 Crypto\Key 实例传入。这意味着：
- Yii 2 配置里写
'key' => 'xxx'是生效的；Yii 3 必须通过依赖注入提供Crypto\Key实例 - Yii 2 的
Yii::$app->getSecurity()->encrypt('abc')会自动用配置的 key；Yii 3 要显式传new Key($rawKey) - 升级项目时若沿用 Yii 2 风格配置，
security.key将被完全忽略，加密结果不兼容
密钥泄露后怎么补救
一旦确认 security.key 泄露（比如提交到 GitHub），不能只改 key 了事。因为已有加密数据（如用户 remember-me cookie、数据库中加密字段、密码重置 token）将全部失效：
- 立即更新所有环境的 key，并重启 PHP 进程（确保 OPcache 清除）
- 强制所有用户登出：清空
user_token表、删除session表、重置user.auth_key - 若用了
encrypt()存敏感字段（如手机号），需用旧 key 解密 + 新 key 加密批量迁移（无自动化脚本，必须手写临时命令） - 检查是否误把 key 写进前端 JS 或日志——这类泄露无法回滚，只能当作已失守处理
最常被忽略的一点：cookieValidationKey（用于表单 CSRF 和 session cookie 签名）和 security.key 是两套机制，但很多人把同一个字符串同时赋给两者，等于放大泄露面。它们应使用不同随机值。
