ThinkPHP 的 .env 文件不能直接放敏感信息，因可能被 Web 服务器直接暴露下载；应通过 Nginx/Apache 配置禁止访问、确保不在 public 目录，并用服务器环境变量替代敏感配置。
ThinkPHP 的 .env 文件为什么不能直接放敏感信息
因为默认情况下 .env 文件会被 Web 服务器（如 Nginx/Apache）当作普通文件，如果路径配置不当，可能被直接访问下载。比如访问 https://example.com/.env 就能拿到数据库密码、API 密钥等——这是线上环境最常发生的低级泄露。
解决思路不是“加密内容”，而是“不让它可被 HTTP 访问”：
- Nginx 配置中必须添加
location ~ \.env$ { deny all; }或更稳妥的location ~ /\.(env|git|log|lock)$ { return 404; } - Apache 要确保
.htaccess生效，且包含RedirectMatch 404 /\.env$ - 部署时确认
.env不在public/目录下（ThinkPHP 6+ 默认已做到，但老项目迁移容易忽略）
config/database.php 中的数据库密码要不要加密
不要。ThinkPHP 的配置系统在运行时才读取 config/database.php，该文件本身不对外暴露，加密反而会引入额外解密逻辑和性能开销，还可能因密钥管理不当导致更严重问题。
真正要防的是“配置值被日志或异常页面意外输出”：
立即学习“PHP免费学习笔记（深入）”；
- 关闭调试模式：
APP_DEBUG = false，避免异常堆栈里打印database.php全量配置 - 检查自定义日志中间件，禁止记录含
password、key、secret等字段的请求参数或配置数组 - 若用
Config::get('database')调试，手动过滤敏感字段再 dump，别直接dump(Config::get())
如何用环境变量替代硬编码，又不暴露密钥
ThinkPHP 6+ 原生支持从环境变量读取配置，这才是安全落地的关键路径：把真正敏感的值挪到服务器级环境变量中，PHP 进程能读、HTTP 请求读不到。
操作分三步：
- 在服务器启动 PHP-FPM 前设置环境变量（如 systemd service 文件里加
Environment="DB_PASSWORD=xxx"），或 Docker 容器启动时用-e DB_PASSWORD=xxx - 在
config/database.php中改用$_ENV['DB_PASSWORD']或 ThinkPHP 封装的env('DB_PASSWORD') - 确保
.env文件只存非敏感默认值（如DB_HOST=127.0.0.1），且生产环境完全不加载它（通过App::envFile(null)或部署时删掉）
注意：putenv() 在运行时设置的环境变量对子进程无效，别在控制器里临时 putenv('KEY=xxx')——这既不安全也不可靠。
自定义加密配置项的常见翻车点
有些团队坚持对 app.key 或 JWT secret 做 AES 加密存储，结果反而出问题：
- 加密密钥写死在代码里，等于没加密
- 用
openssl_encrypt()但没固定 IV，每次解密失败 - 把加密后的字符串直接塞进
config/jwt.php，而该文件被var_export()类函数序列化时可能破坏二进制数据 - CI/CD 流水线里解密逻辑缺失，导致测试环境跑不通
真正需要加密的只有极少数场景（如需落库保存的用户凭证），此时应使用 ThinkPHP 内置的 think\helper\Str::random() 生成密钥，并配合 think\facade\Crypt 模块，且密钥必须由运维单独注入，绝不能进 Git。
