ThinkPHP 的密钥配置在 config/app.php 的 ‘key’ 字段（TP6/7）或 ‘crypt_key’（TP5.1），需严格满足32位或16位长度要求，通过 php think key:generate 生成，禁用硬编码与常量定义。
ThinkPHP 的密钥在哪配？不是写在代码里
ThinkPHP 本身没有叫 密钥 的独立配置项，所谓“密钥”实际指代的是加密相关的核心配置：主要是 app.key（用于对称加密如 Cookie、Session 加密）和 app.crypt_key（部分版本或自定义加密场景用）。它不靠手写函数生成后硬编码进控制器或模型，而是统一放在应用配置中。
常见误区是试图在 index.php 或某个控制器里调用 md5(time().rand()) 生成一串字符串赋值给某个变量——这既不安全也不生效。真正起作用的只有框架启动时读取的配置值。
TP6/TP7 怎么设置 app.key？看 config/app.php
ThinkPHP 6 和 7 默认使用 config/app.php 中的 key 字段作为加密密钥。这个值必须是 32 位长的字符串（AES-256-CBC 要求），否则运行时会报错：openssl_encrypt(): Key length error。
- 手动设置：直接修改
config/app.php中的'key' => 'your_32_length_string_here_12345678' - 推荐生成方式：终端执行
php think key:generate（TP6+ 自带命令），自动写入配置并输出结果 - 不要用中文、空格、特殊符号；避免用时间戳、用户名等可预测内容
- 上线后禁止提交明文密钥到 Git，应通过环境变量覆盖：
'key' => $_ENV['APP_KEY'] ?? 'fallback'
为什么改了 key 后 Cookie 全失效？这是正常现象
app.key 变更会导致所有依赖它的加密数据无法解密，包括：think_cookie、PHPSESSID（若开启加密 Session）、cache 中的加密缓存项。这不是 bug，是设计使然。
立即学习“PHP免费学习笔记（深入）”；
