TP5中密码严禁硬编码在函数内，必须存于配置文件或数据库；正确位置是app/database.php，且需URL编码特殊字符、用127.0.0.1代替localhost，并通过.env和env()读取密钥以保障安全。
TP5 里没有“函数文件写密码”这回事，密码必须存在配置文件或数据库中，硬编码进函数是严重安全漏洞。
为什么不能在函数里写密码
把数据库密码、API密钥等直接写死在 function 或工具类里，会导致：
- 代码提交到 Git 时密码直接泄露（哪怕设了 .gitignore，也容易误传）
- 多人协作时权限失控，无法按环境区分密码（开发/测试/生产应不同）
- 运行时若发生错误并开启调试，
print_r($this)或异常堆栈可能意外输出含密码的对象 - TP5 的
runtime目录缓存会编译模板和配置，若密码混在逻辑代码中，可能被静态分析工具或缓存文件间接暴露
正确位置：只在 app/database.php 配置数据库密码
TP5 强制使用「应用级配置覆盖」，所有运行时生效的数据库连接参数，必须写在 app/database.php 中，不是根目录那个同名文件。
示例（请严格按此结构）：
return [
'type' => 'mysql',
'hostname' => '127.0.0.1', // 不要用 'localhost'，避免 Unix socket 连接干扰
'database' => 'blog',
'username' => 'root',
'password' => 'pass%40123', // 密码含 @ / 等字符必须 URL 编码
'hostport' => '3306',
'prefix' => 'tp_',
'debug' => true,
];
注意点：
-
password字段值若含@、/、:，必须用rawurlencode()编码，例如pass@123→pass%40123 -
hostname写127.0.0.1，不写localhost，否则 MySQL 可能走 socket 而非 TCP，导致连接失败且报错晦涩 - 该文件不能被 Web 直接访问 —— TP5 的
public是唯一入口，app/目录天然受保护
需要动态加解密？用独立服务类，但密钥仍走配置
比如 AES 加密用户手机号，密钥不能写在 Aes 类的构造函数里，而应从配置读取：
// app/common/secret/Aes.php
namespace app\common\secret;
use think\Config;
class Aes
{
protected $secret_key;
public function __construct()
{
// 从配置读，而非硬编码
$this->secret_key = Config::get('cipher.aes_key') ?: 'fallback-key-123';
}
public function encrypt($data)
{
return openssl_encrypt($data, 'AES-128-ECB', $this->secret_key, 0);
}
}
对应在 app/config.php 里加：
'cipher' => [
'aes_key' => 'your-32-byte-secret-key-here', // 生产环境务必用 env() 从 .env 读
],
更安全的做法是：在 .env 文件中写 CIPHER_AES_KEY=xxx，然后用 env('CIPHER_AES_KEY') 读取 —— 这样部署时可完全隔离密钥。
真正容易被忽略的是：runtime 目录权限和 .env 文件是否被 Web 服务器意外暴露。只要这两处出问题，再规范的密码管理也白搭。
