ThinkPHP的.env文件必须作为每人一份的本地覆盖层，严禁提交Git；需执行git rm --cached .env彻底移除缓存，.gitignore仅写一行.env，根目录只保留无敏感值的.env.example，且配置中避免在config/文件内直接调用env()，严格遵循等号无空格、值用单引号、注释独占行等格式规范。
ThinkPHP 的 .env 文件一旦被提交到 Git，数据库密码、API 密钥等敏感信息就极可能泄露——这不是配置问题，是安全事件的导火索。必须从文件存在方式、加载时机、格式规范三方面同时卡死。
为什么 .env 会被误提交？根本不是忘记加 .gitignore
常见错误是把 .env 当作“共享配置模板”，但它的本质是**每人一份的本地运行时覆盖层**。只要它曾被 git add 过，即使后来加了 .gitignore，Git 仍会持续追踪它。
- 立刻执行
git rm --cached .env，彻底从 Git 缓存中移除 - 确认
.gitignore中有且只有一行：.env（不带空格、不带引号） - 项目根目录只保留
.env.example，里面只写键名和占位值（如DB_PASSWORD=your_password_here），绝不可填真实密码 - 新成员 clone 后必须手动
cp .env.example .env && vim .env，不能靠脚本自动填充——避免某人误把模板当真
env() 函数在 config/ 目录里调用会静默失效
ThinkPHP 6+ 默认在应用初始化早期加载 .env，但如果你在 config/database.php 这类 PHP 配置文件里直接写 env('DB_PASSWORD', '')，而该文件又被 Config::load() 显式引入，就可能因加载顺序错乱 fallback 到默认值。
- 不要在
config/下的任何 PHP 配置文件中调用env() - 改用
Config::get('database.password')，它走的是已合并后的最终配置层 - 验证是否生效：在控制器里打印
env('APP_DEBUG')和Config::get('app.debug')，两者必须一致；若不一致，说明.env没被正确加载或被覆盖 - 确保
think\initializer\Env在think\App初始化阶段被执行（默认已满足，勿自行修改初始化流程）
Dotenv 解析失败不报错，只静默跳过——格式细节决定成败
vlucas/phpdotenv 对空格、引号、注释极其敏感，出错时往往没有明确异常，而是直接忽略整行，导致变量为空却查不出原因。
立即学习“PHP免费学习笔记（深入）”；
- 等号两侧**绝对禁止空格**：
DB_PASSWORD=abc123✅，DB_PASSWORD = abc123❌ - 含空格或特殊字符的值必须用**单引号**包裹：
REDIS_PASSWORD='pass word!'✅，双引号会被 shell 层解析，不推荐 - 注释只能独占一行且以
#开头，前面不能有空格；DB_HOST=127.0.0.1 # local是非法的 - 变量名只能含字母、数字、下划线，且不能以数字开头：
API_V1_URL✅，1API_URL❌ - 避免使用
[section]分组语法（如[DATABASE]），ThinkPHP 官方示例虽有，但vlucas/phpdotenv不支持，会导致后续变量全部失效
真正危险的不是不会配，而是配完没验证、改完没测试。每次修改 .env 后，务必在控制器里 dump 出关键变量，并连通数据库、缓存、日志等实际组件跑一次请求，否则所谓“保护”只是假象。
