Composer install 不加载 .env 文件，因其仅负责依赖管理，不解析环境变量或 .env 文件；环境变量需由 PHP 应用（如通过 vlucas/phpdotenv）在运行时手动加载。
composer install 时 .env 文件为什么没被加载
因为 composer install 根本不读 .env，也不解析 ${VAR} 占位符。它只管下载包、生成 autoloader、按 composer.lock 装版本——环境变量是 PHP 运行时的事，和 Composer 无关。
常见错误现象：本地 .env 写好了，php artisan serve 启动后数据库连不上；CI 中 composer install 成功，但后续 PHP 脚本读不到 getenv('DB_PASSWORD')。
- 根本原因：没有引入
vlucas/phpdotenv，或引入了但没在入口文件调用Dotenv::createImmutable()->load() -
composer require vlucas/phpdotenv是唯一可靠起点，不是“可选增强”，没这步，Dotenv类根本不存在 - 别用
@dev或v6版本——v5.6+支持 PHP 8.2+，v6要求 PHP ≥ 8.1；选错版本会导致createImmutable()找不到 - 脚本里写
"php -r \"file_exists('.env') || copy('.env.example', '.env');\""只解决文件存在性，不校验内容是否合法；上线后.env里可能全是DB_PASSWORD=password
生产环境 vendor 目录暴露的三种真实风险
即使你把 .env 加了 .gitignore，只要 vendor/ 被 Web 服务器直接访问，攻击者就能下载 vendor/symfony/console/Tests/Fixtures/config.yml、vendor/monolog/monolog/tests/ 里的测试密钥，甚至通过 vendor/composer/autoload_static.php 反推类路径结构。
典型错误配置：root /var/www/html; 把整个项目根目录设为 document root，导致 /vendor/、/composer.json、/.env 全部可直访。
围绕关键发现、作用机制、临床相关性及研究局限性展开讨论。适用于撰写或优化任何生物医学论文的“讨论（Discussion）”部分——包括结果解读、与既往文献关联、阐释意外发现、界定研究局限性，以及撰写结论。当用户输入以下任一指令时也会自动触发该功能： - “write my discussion” - “help me discuss my findings” - “how do I compare to prior studies” - “write the limitations par
- Nginx 必须加硬隔离规则：
location ~ /\.(env|json|lock|git|hg|svn)$ { deny all; } -
location ^~ /vendor/ { return 403; }比location /vendor/更安全，避免前缀匹配绕过 - 验证方式：部署后立刻
curl -I https://yoursite.com/.env，必须返回403或404，不能是200 - 更彻底的做法是把 Web root 设为
public/目录，让vendor/和.env完全脱离 Web 可访问路径
CI/CD 中敏感变量注入的正确姿势
CI 环境里写 APP_ENV=prod composer install 是对的，但 APP_ENV 对 composer install 本身没用——它只是透传给后续执行的 PHP 脚本。真正起效的是你在 scripts/dotenv-loader.php 里用到的变量，或者框架启动时调用的 Dotenv 实例。
容易踩的坑：GitHub Actions 里用 env: 块注入 DB_PASSWORD，却忘了在 composer install 后的 php artisan config:cache 步骤中显式传参，导致缓存文件里还是占位符。
- CI 中应禁用
post-install-cmd自动复制.env.example，否则可能把示例值误当真实配置注入生产环境（可用COMPOSER_NO_DEV=1控制） - 敏感变量必须由 CI 平台 secret 注入，且只在运行 PHP 脚本前导出：
export DB_PASSWORD=${{ secrets.DB_PASSWORD }} - 容器化部署时，用 Kubernetes Secret 挂载到
/var/www/.env，而不是把密钥写进 Dockerfile 或ENV指令 -
.env.example必须人工维护：每次新增配置项（如STRIPE_SECRET_KEY），都要同步更新并提交，不能靠依赖包自带的模板自动合并
vendor/autoload.php 里的 classmap-authoritative 为什么关键
启用 --classmap-authoritative 后，Composer 会生成 vendor/composer/autoload_classmap.php，并强制所有类必须在这个映射表里——如果某个类没被扫描进去，Class not found 错误会在运行时立刻抛出，而不是默默 fallback 到 PSR-4 自动加载。这对敏感配置加载链很关键。
比如你用了 vlucas/phpdotenv，但没启用该选项，某次更新后它的内部类路径变了，而 autoload_classmap.php 没更新，就可能跳过 dotenv 初始化，导致 $_ENV 为空。
- 构建命令必须带
--classmap-authoritative --optimize-autoloader，缺一不可 - 检查
vendor/autoload.php是否含'classmap-authoritative' => true，且vendor/composer/autoload_classmap.php非空 - 生产部署包里若缺失
autoload_classmap.php，说明构建时没加参数，或被清理脚本误删 - 不要手动改
vendor/vlucas/phpdotenv/src/Dotenv.php——它的safeLoad()行为已足够健壮，硬改反而破坏语义
.env 不进 Git，vendor/ 不出构建机，classmap-authoritative 不跳过验证。每一步漏掉，都可能让敏感配置从内存泄漏到日志、从日志泄露到监控平台、再从监控平台扩散到整个运维链路。 
