APP_KEY必须带base64:前缀，否则ThinkPHP不识别为有效密钥，导致Cookie、Session、JWT等加密功能全部失效并返回500错误；正确格式为APP_KEY=base64:后接32字节Base64编码字符串（对应原始24字节），且须在config/app.php中通过env()读取，修改后需清空runtime/cache/缓存。
APP_KEY必须带 base64: 前缀，否则 ThinkPHP 不识别为密钥
ThinkPHP 6+ 对 APP_KEY 的解析有硬性约定：环境变量值必须以 base64: 开头，否则框架在初始化加密组件时会跳过该值，导致后续所有加密/解密操作（如 Cookie、Session、JWT）全部失败，接口返回 500 错误且日志无明确提示。
常见错误是直接写 APP_KEY=abcd1234，看起来能读到，但 env('APP_KEY') 返回的字符串不被框架当作有效密钥使用。
- 正确写法：
APP_KEY=base64:abcd1234（长度需为 32 字节 Base64 编码，即原始密钥 24 字节） - 生成合规密钥推荐用命令：
php -r "echo base64_encode(random_bytes(24));" - 若用
php think key:generate命令，它会自动加base64:前缀并写入.env，可直接用 - 部署后务必验证：
var_dump(env('APP_KEY'));确认输出含base64:且非空
APP_KEY 只能在 config/app.php 里通过 env() 读取，不能在中间件或控制器里提前用
APP_KEY 是框架启动早期就依赖的核心密钥，用于初始化 think\facade\Crypt 和 Session 驱动。如果在中间件、控制器或模型中首次调用 env('APP_KEY') 才触发读取，此时框架加密组件可能已初始化完毕，再读也无效——等于密钥“迟到”。
实操上必须确保：
立即学习“PHP免费学习笔记（深入）”；
-
APP_KEY的读取发生在config/app.php文件中，且赋值给'app_key'键 - 不要在
app/bootstrap.php或自定义服务提供者里试图“重设”APP_KEY，框架不支持运行时覆盖 - 若需派生 JWT 密钥等衍生密钥，应在
config/jwt.php中用env('APP_KEY')计算，而非另存一个新环境变量 - CLI 环境下（如队列、定时任务）要确认
.env已加载：执行php think env:list查看是否列出APP_KEY
APP_KEY 不能放 public/ 目录下，.env 必须被 Web 服务器禁止访问
.env 文件若被放在 public/ 下，或 Web 根目录配置错误（比如根目录设成了项目根而非 public/），会导致 .env 被直接 HTTP 访问，密钥瞬间泄露。
关键检查点：
-
.env必须位于项目根目录（与public/同级），且已加入.gitignore - Nginx 配置中必须显式禁止访问：
location ~ /\.env { deny all; } - Apache 下需确保
.htaccess生效，或在虚拟主机配置中加RedirectMatch 403 /\.env$ - 上线前用浏览器访问
https://yourdomain.com/.env，必须返回 403 或 404，绝不能看到明文内容
APP_KEY 改动后必须清空 runtime/cache/，否则旧密钥缓存仍生效
ThinkPHP 会把部分配置（包括密钥相关初始化逻辑）编译进 runtime/cache/ 下的 PHP 文件。如果只改了 .env 里的 APP_KEY 却没清理缓存，应用仍用旧密钥解密，结果就是 Cookie 失效、Token 验证失败、Session 无法恢复——现象是用户频繁掉登录，但日志里查不到原因。
每次更新 APP_KEY 后必须执行：
-
php think clear:cache（推荐，安全清空所有缓存） - 或手动删掉
runtime/cache/和runtime/config/目录 - 若用了
php think optimize:config，改密钥后必须重新执行该命令 - 验证方式：重启 PHP-FPM 或 Apache，访问任意页面后检查
runtime/log/是否有加密组件初始化日志
APP_KEY 尤其敏感——它介入时机早、校验规则死、缓存影响深，任何一个环节漏掉（比如少写 base64:、忘清缓存、放错路径），都会让整个加密链路静默崩断。 
