JavaScript无法直接获取PHP环境变量，需通过PHP服务端桥接传递：如HTML中定义全局变量、data属性注入或提供白名单配置接口，严禁暴露敏感信息。
JavaScript 本身无法直接获取 PHP 的环境变量，因为 PHP 运行在服务端，JS（浏览器端）运行在客户端，两者隔离。但可以通过服务端“桥接”的方式把需要的环境变量值安全地传递给前端。
PHP 端主动注入到 JS 可访问的位置
这是最常用、最可控的方式：由 PHP 在生成 HTML 或内联脚本时，把必要的环境变量（如 API 地址、应用模式）写入页面上下文，供 JS 读取。
- 在 HTML 中定义全局 JS 变量（推荐用于少量关键配置）：
<script>
var APP_ENV = "";
var API_BASE = "";
</script> - 通过 data 属性注入（更语义化，适合组件级使用）：
<div id="app" data-api-base=""></div>
JS 中用：document.getElementById('app').dataset.apiBase
后端提供配置接口（适合动态/敏感度低的配置）
前端通过 AJAX 请求一个 PHP 接口（如 /api/config），该接口只返回白名单内的非敏感变量（如 APP_NAME、FEATURE_FLAGS），不包含密钥、数据库密码等。
- PHP 示例（config.php）：
<?php
header('Content-Type: application/json');
$whitelist = ['APP_NAME', 'APP_ENV', 'ENABLE_ANALYTICS'];
$config = [];
foreach ($whitelist as $key) {
$val = getenv($key);
if ($val !== false && $val !== null) $config[$key] = $val;
}
echo json_encode($config);
?> - JS 调用：
fetch('/config.php').then(r => r.json()).then(cfg => console.log(cfg));
避免的做法
以下方式存在明显风险或不可靠，不建议采用：
立即学习“PHP免费学习笔记（深入）”；
- 把
.env文件放在 Web 可访问目录下并用 JS 直接 fetch —— 会暴露所有密钥，严重安全漏洞 - 在 JS 中调用
process.env试图读取 PHP 的环境变量 ——process.env是 Node.js 的概念，纯浏览器 JS 没有该对象 - 用 JS 读取
$_SERVER或$_ENV数组 —— 这些是 PHP 超全局变量，根本不会输出到前端，除非你手动 echo 出来且未过滤
关键提醒
环境变量本质是服务端配置，JS 只能消费它被允许看到的部分。务必遵循最小暴露原则：只传必需字段，始终做 htmlspecialchars() 或 JSON 编码，绝不透出 DB_PASSWORD、JWT_SECRET 等敏感值。真正的密钥永远留在服务端，由 PHP 完成鉴权和数据获取。
