ThinkPHP 的 .env 文件不能直接放敏感信息，因可能被 Web 服务器直接暴露下载；应通过 Nginx/Apache 配置禁止访问、确保不在 public 目录，并用服务器环境变量替代敏感配置。
ThinkPHP 的 .env 文件为什么不能直接放敏感信息
因为默认情况下
文件会被 Web 服务器（如 Nginx/Apache）当作普通文件，如果路径配置不当，可能被直接访问下载。比如访问
就能拿到数据库密码、API 密钥等——这是线上环境最常发生的低级泄露。
解决思路不是“加密内容”，而是“不让它可被 HTTP 访问”：
Nginx 配置中必须添加
或更稳妥的
Apache 要确保
生效，且包含
部署时确认
不在
目录下（ThinkPHP 6+ 默认已做到，但老项目迁移容易忽略）
config/database.
php
中的数据库密码要不要加密
不要。ThinkPHP 的配置系统在运行时才读取
，该文件本身不对外暴露，加密反而会引入额外解密逻辑和性能开销，还可能因密钥管理不当导致更严重问题。
真正要防的是“配置值被日志或异常页面意外输出”：
立即学习
“
PHP免费学习笔记（深入）
”；
关闭调试模式：
，避免异常堆栈里打印
全量配置
检查自定义日志中间件，禁止记录含
、
、
等字段的请求参数或配置数组
若用
调试，手动过滤敏感字段再 dump，别直接
如何用环境变量替代硬编码，又不暴露密钥
ThinkPHP 6+ 原生支持从环境变量读取配置，这才是安全落地的关键路径：把真正敏感的值挪到服务器级环境变量中，PHP 进程能读、HTTP 请求读不到。
PHP 8.5.5
PHP 8.5.5 是 PHP 8.5 分支的维护更新版本。该版本延续了“小步快跑”的迭代逻辑，通过深度错误修复、底层性能微调以及安全加固，旨在为开发者提供一个更健壮、更高效的运行环境。该版本严格遵守语义化版本规范，不包含破坏性变更。
下载
操作分三步：
在服务器启动 PHP-FPM 前设置环境变量（如 systemd service 文件里加
），或 Docker 容器启动时用
在
中改用
或 ThinkPHP 封装的
确保
文件只存非敏感默认值（如
），且生产环境完全不加载它（通过
或部署时删掉）
注意：
在运行时设置的环境变量对子进程无效，别在控制器里临时
——这既不安全也不可靠。
自定义加密配置项的常见翻车点
有些团队坚持对
或 JWT secret 做 AES 加密存储，结果反而出问题：
加密密钥写死在代码里，等于没加密
用
但没固定 IV，每次解密失败
把加密后的字符串直接塞进
，而该文件被
类函数序列化时可能破坏二进制数据
CI/CD 流水线里解密逻辑缺失，导致测试环境跑不通
真正需要加密的只有极少数场景（如需落库保存的用户凭证），此时应使用 ThinkPHP 内置的
生成密钥，并配合
模块，且密钥必须由运维单独注入，绝不能进 Git。
.envhttps://example.com/.envlocation ~ \.env$ { deny all; }location ~ /\.(env|git|log|lock)$ { return 404; }.htaccessRedirectMatch 404 /\.env$.envpublic/config/database.phpAPP_DEBUG = falsedatabase.phppasswordkeysecretConfig::get('database')dump(Config::get())Environment="DB_PASSWORD=xxx"-e DB_PASSWORD=xxxconfig/database.php$_ENV['DB_PASSWORD']env('DB_PASSWORD').envDB_HOST=127.0.0.1App::envFile(null)putenv()putenv('KEY=xxx')app.keyopenssl_encrypt()config/jwt.phpvar_export()think\helper\Str::random()think\facade\Crypt