API地址必须写在.env中，再通过env()在config/services.php中读取；硬编码在PHP文件会导致环境切换出错、密钥泄露等风险，且需确保.env为UTF-8无BOM编码、修改后执行php think clear:config更新缓存。
API地址该写在 .env 还是 config/services.php？
必须写在 .env，再通过 env() 在 config/services.php 中读取。直接硬编码在 PHP 配置文件里会导致环境切换时改错文件、上线漏改、Git 提交密钥等风险。
常见错误现象：本地调用测试 API 成功，部署后 404 或连接拒绝 → 很可能 config/services.php 里写了 'base_uri' => 'https://api.dev.example.com'，而生产环境没同步改，也没走 env() 覆盖。
-
.env中定义：API_BASE_URL='https://api.prod.example.com'（含单引号，防特殊字符解析失败） -
config/services.php中引用：'base_uri' => env('API_BASE_URL', 'https://api.default.example.com') - 变量名必须全大写+下划线：
API_V1_URL✅，api_base_url或API-URL❌ - 第二个参数不可省略，空字符串或兜底地址比
null更安全，避免 Guzzle 初始化时报错
多环境 API 地址怎么隔离？
ThinkPHP 不支持自动按环境加载不同 .env 文件，但可通过 APP_ENV + 条件加载实现。关键不是靠多个 .env，而是靠统一入口控制加载逻辑。
典型错误：建了 .env.dev 和 .env.prod，但没在 public/index.php 中主动加载对应文件 → 框架只读默认 .env，其余被忽略。
立即学习“PHP免费学习笔记（深入）”；
- 确保
public/index.php在autoload.php后立即加载：$envFile = __DIR__ . '/../.env.' . (getenv('APP_ENV') ?: 'prod'); if (file_exists($envFile)) { $dotenv = Dotenv\Dotenv::createImmutable(__DIR__.'/..', basename($envFile)); $dotenv->load(); } - 各环境文件只写差异项：
.env.dev写API_BASE_URL='https://api.local'，.env.prod写API_BASE_URL='https://api.example.com'，通用配置（如超时、认证方式）留在主.env - CLI 下验证是否生效：
APP_ENV=dev php think run，然后控制器中dump(env('API_BASE_URL'))看输出
API 密钥和 Token 怎么安全传入客户端？
不能把密钥写死在客户端类构造函数里，也不能在控制器里拼接 URL —— 这两类做法都会导致配置无法被环境变量覆盖、缓存污染、敏感信息泄露。
错误示例：new ApiClient('https://api.example.com', $_ENV['API_TOKEN']) → $_ENV 在 ThinkPHP 初始化后已被重置，且未经过 env() 默认值兜底。
- 在
config/services.php中统一管理：'api_token' => env('API_TOKEN', '') - 客户端类（如
app/service/ApiClient.php）通过容器注入配置：config('services.api_token')，而非直接读$_ENV或getenv() - 值含
@、/、=等字符时，.env必须加单引号：API_TOKEN='sk_live_abc123/def@456='✅ - 部署时确认 Web 服务器用户（如
www-data）对.env有读权限，否则env()返回空字符串且无提示
为什么改了 .env 的 API 地址，客户端还是连旧域名？
大概率是配置缓存没清，或者客户端实例被复用且初始化早于配置加载 —— ThinkPHP 的 env() 只在应用启动早期执行一次，之后不会重读文件。
典型表现：修改 .env 后刷新页面没变化，但 php think clear:config 后立刻生效；或 CLI 命令能连新地址，Web 请求仍走旧地址（因 FPM 进程未重启）。
- 必须执行：
php think clear:config（清 runtime/config.php）或php think optimize:config（重建并优化） - 若用 Swoole 或 RoadRunner，需重启服务进程，仅清缓存无效
- 检查客户端是否用了单例模式且在容器注册时就 new 出实例 —— 此时它读的是旧配置快照；应改为闭包延迟加载：
'api_client' => function(Container $container) { return new ApiClient($container->get('config')->get('services.api_base_url')); } - 别在中间件或控制器里临时改
config('services.api_base_url', 'xxx')—— 这会污染全局状态，下次请求可能拿到错误地址
.env 文件保存为 UTF-8 无 BOM 编码**。一旦带 BOM，ThinkPHP 8 会静默跳过整个文件，env('API_BASE_URL') 永远返回默认值，且没有任何日志或报错提示。 
