PHP 8.2 调用 Claude API 时密钥严禁硬编码，必须通过环境变量（如 ANTHROPIC_API_KEY）加载，本地用 .env + phpdotenv，生产用系统级注入，Web 环境须确保密钥不暴露于前端或响应体。
PHP 8.2 调用 Claude API 时，密钥绝不能写死在代码里——这是绝大多数泄露事件的起点。核心原则是：密钥必须与代码分离、不进版本库、不暴露于运行时环境（尤其是 Web 可访问路径），且只在真正需要时才加载到内存。
用环境变量加载，不进代码也不进 Git
这是最常用也最推荐的方式，适合本地开发和大多数部署场景：
- 在项目根目录创建 .env 文件（注意开头的点），写入：
ANTHROPIC_API_KEY=sk-ant-api03-xxx - 确保 .gitignore 中包含
.env，防止误提交 - 使用
vlucas/phpdotenv库加载：在入口文件（如index.php或框架启动处）顶部加(new Dotenv\Dotenv(__DIR__))->load(); - 在业务逻辑中通过
$_ENV['ANTHROPIC_API_KEY']或getenv('ANTHROPIC_API_KEY')获取，不再出现明文字符串
生产环境优先用系统级环境变量
容器或服务器部署时，应避免依赖 .env 文件，改用操作系统或运行时注入：
- Linux/macOS 下启动前执行：
export ANTHROPIC_API_KEY="sk-ant-api03-xxx" - Docker 部署时，在
docker-compose.yml的environment下引用：ANTHROPIC_API_KEY: ${ANTHROPIC_API_KEY}，再通过宿主机export注入 - Web 服务器（如 Nginx + PHP-FPM）中，可在
php-fpm.conf或 pool 配置里用env[ANTHROPIC_API_KEY] = ...传递，确保 PHP 进程可读但不被 Web 请求直接获取
Web 项目特别注意：禁止前端接触密钥
如果你的 PHP 服务只是后端代理（比如前端发请求给 /api/claude，PHP 再转调 Anthropic），那密钥必须严格保留在服务端：
立即学习“PHP免费学习笔记（深入）”；
- 绝对不要把
ANTHROPIC_API_KEY通过 API 返回给浏览器，或写进 JS 变量、HTML data 属性 - 避免在 PHP 中用
echo、json_encode等方式把密钥输出到响应体 - 检查所有调试输出（如
var_dump($_ENV)、print_r(get_defined_constants())），上线前关闭或过滤敏感字段
进阶：用云 KMS 或本地密钥管理服务
对安全要求极高的项目（如 SaaS 多租户平台），可进一步解耦密钥生命周期：
- 将密钥存入 AWS KMS、阿里云 KMS 或 HashiCorp Vault，PHP 启动时按需解密获取
- 本地可结合
libsodium（PHP 8.2 原生支持）做一层轻量加密：密钥密文存配置，用主密钥（从环境变量或文件读取）解密后仅内存持有 - 配合定期轮换策略（建议每 90 天），旧密钥停用后自动失效，降低单点泄露影响
