PHP CLI 模式无内置密钥概念，安全用法有三：优先从环境变量（如 getenv(‘APP_KEY’)）或权限为600的密钥文件读取，调试可用stdin；禁用$_GET/$_POST，改用$argv或getopt()解析参数；openssl_sign()用于非对称签名，hash_hmac()用于对称签名，均需避免硬编码与日志泄露。
PHP CLI 模式本身不提供内置的“密钥”概念——你不是在找 php -m openssl 的开关，而是在处理命令行下安全地使用密钥（比如 JWT 签名、AES 加密、API 认证 token），这类密钥必须避免硬编码、泄露到 stdout/stderr 或被 shell 历史记录捕获。
CLI 下读取密钥的三种安全方式
直接写死 $key = 'my-secret-123'; 是最常见也最危险的做法。真实项目中应按优先级选择：
- 从环境变量读取：用
getenv('APP_KEY')或更健壮的$_SERVER['APP_KEY']，启动时通过APP_KEY=xxx php script.php传入，确保 shell 历史不记录（加空格或改用env命令） - 从文件读取（推荐）：密钥存于
/etc/myapp/key.bin或用户家目录下的~/.myapp/key，PHP 用file_get_contents()读取，注意设置文件权限为600，且脚本需有读取权限 - 从 stdin 交互输入（仅调试）：用
stream_get_line(STDIN, 1024, PHP_EOL)，但无法用于自动化任务，且容易被ps aux短暂看到参数
为什么不能用 $_GET 或 $_POST 在 CLI 里传密钥
CLI 模式下 $_GET、$_POST、$_COOKIE 全是空数组，它们依赖 SAPI（如 Apache 或 FPM）解析 HTTP 请求。你在终端执行 php cli.php?secret=abc，问号及之后的内容会被 shell 当作参数传递给 php 进程，PHP 解析后放进 $argv，而不是 $_GET。
正确做法是用 $argv 或 getopt()：
立即学习“PHP免费学习笔记（深入）”；
