PHP中密钥不可硬编码，应使用环境变量；开发用vlucas/phpdotenv加载.env文件，生产必须用系统级环境变量（如PHP-FPM配置或Docker environment），并统一用getenv()读取且校验非空。
PHP 项目里把密钥（如 API_KEY、DB_PASSWORD）硬编码在代码里是高危操作，必须移出源码。环境变量是最常用且被主流部署平台（Docker、Laravel Forge、Laravel Vapor、Cloudflare Pages 等）原生支持的方案，但直接用 $_ENV 或 getenv() 读取前，得先确保它被正确加载和暴露。
为什么 $_ENV 为空或 getenv('SECRET') 返回 false
PHP 默认不会自动填充 $_ENV 数组，除非 variables_order 配置包含 E（且未被禁用）。更关键的是：Web 服务器（如 Apache、Nginx + PHP-FPM）默认不向 PHP 进程传递系统级环境变量——尤其是通过 export KEY=xxx 设置的那些。
- CLI 模式下
getenv()通常可用，但 Web 请求中大概率失效 -
putenv()只对当前请求有效，不能跨请求持久化，也不推荐用于密钥注入 - Apache 的
SetEnv指令只对 CGI 模式生效，在 mod_php 或 PHP-FPM 下无效
用 .env 文件 + vlucas/phpdotenv 是最稳妥的开发/测试方案
它不依赖 Web 服务器配置，纯 PHP 实现，适合本地、CI 和轻量部署。注意：生产环境仍建议用真实环境变量，.env 仅作补充或过渡。
- 安装：
composer require vlucas/phpdotenv - 在入口文件（如
index.php或public/index.php）顶部立即加载：
require_once __DIR__.'/vendor/autoload.php'; $dotenv = Dotenv\Dotenv::createImmutable(__DIR__); $dotenv->load();
-
.env文件需放在项目根目录（__DIR__指向该目录），内容形如：DB_PASSWORD=super-secret-123 - 加载后即可用
$_ENV['DB_PASSWORD']或getenv('DB_PASSWORD') - 务必把
.env加入.gitignore，禁止提交到仓库
生产环境必须用系统级环境变量（Nginx / PHP-FPM / Docker）
这是唯一能避免文件读取、权限泄露风险的方式，也是 Laravel、Symfony 等框架默认推荐的生产实践。
