生产环境应禁用密码常量，改用环境变量即时读取并立即销毁临时变量。需避免框架配置缓存密码、关闭错误显示、禁用Xdebug、过滤日志与异常输出，并在CI/CD中强制清理敏感信息。
生产环境不能靠“定义完就不管”来防泄露——define('DB_PASSWORD', 'xxx')这类常量一旦声明，PHP进程生命周期内全程可见，内存、日志、调试输出、异常堆栈都可能把它带出去。真正有效的做法是：不定义敏感密码常量，改用环境变量读取后立即销毁临时变量，切断所有残留路径。
别定义密码常量，改用环境变量+即时清理
PHP常量不可销毁，一旦 define 就永远存在。哪怕你只在连接数据库时用一次，它也会驻留在内存里，被 Xdebug、内存快照、core dump 或异常上下文意外捕获。安全路径是绕过常量层，直接从运行时环境读取并控制作用域：
- 用
getenv('DB_PASSWORD')或$_ENV['DB_PASSWORD']获取值，不赋给任何全局变量或常量 - 获取后立刻用于 PDO 构造或配置数组，随后立即
unset($password)（注意：这里 $password 是局部变量，不是常量） - 若使用连接池或 DbManager 类，确保每次建立连接后清空 password 字段，例如：
unset($config['password']);
框架配置中禁止保留密码字段
很多框架（如 Laravel、ThinkPHP）的数据库配置数组会缓存整个 config，其中 password 键长期驻留内存。必须在连接建立前或连接后主动剥离：
- Laravel 中可在
config/database.php里写成'password' => $_ENV['DB_PASSWORD'] ?? ''，但连接成功后应调用DB::purge()或手动清除连接实例中的凭证 - 自定义数据库管理器中，PDO 实例化后执行
$pdo->setAttribute(PDO::ATTR_ERRMODE, PDO::ERRMODE_EXCEPTION)，并在 finally 块中 unset 密码相关变量 - 避免在中间件、日志钩子、异常处理器中打印完整 $config 数组——尤其要过滤掉 password、secret、key 等键名
运行时加固：关显示、禁调试、滤日志
即使密码没被定义为常量，只要它进过 PHP 内存，就有泄露风险。需配合运行时策略封堵旁路：
立即学习“PHP免费学习笔记（深入）”；
- 确认
display_errors = Off写入 php.ini，且未被 pool 配置覆盖；log_errors = On并指向 Web 不可访问路径（如/var/log/php/app.log） - 禁用
xdebug.mode=off（非 debug），防止var_dump($config)或堆栈中暴露密码 - 自定义错误处理器中，对
$_ENV、$_SERVER做关键词过滤，遇到pass、key、secret立即替换为[hidden]
CI/CD 和部署阶段强制清理
密码泄露常发生在构建或上线环节。需在自动化流程中嵌入检查和清理动作：
- CI 阶段运行
grep -r "DB_PASSWORD\|password.*=>" app/ | grep -v "getenv\|env\["，命中即中断构建 - Docker 构建时严禁
ENV DB_PASSWORD=xxx，改用docker run -e DB_PASSWORD=xxx或docker-compose.yml的environment:字段 - 上线脚本中加入
php -r "echo getenv('DB_PASSWORD') ? 'FAIL: password still set' : 'OK';"做冒烟检测
