数据库连接密钥应优先存储在环境变量中，通过getenv()或$_ENV读取；若必须用配置文件，须置于Web根目录外、加退出声明并禁用Web服务器解析；.env文件需严格限制访问且不可提交至代码仓库。
数据库连接密钥不能硬编码在 PHP 文件里，尤其是 config.php 或 index.php 这类可能被 Web 服务器误配置导致源码泄露的文件中。
密钥该存在哪儿？优先用环境变量
PHP 7.1+ 推荐通过 getenv() 或 $_ENV 读取系统级环境变量，避免密钥出现在项目代码树中：
$host = getenv('DB_HOST') ?: 'localhost';
$user = $_ENV['DB_USER'] ?? 'root';
$pass = $_ENV['DB_PASS'] ?? '';
$db = $_ENV['DB_NAME'] ?? 'app';
- Linux/macOS 下启动 PHP-FPM 或 CLI 时，可通过
export DB_PASS="xxx"设置；Nginx + PHP-FPM 可在php-fpm.conf的env[DB_PASS] = xxx中透传 - Docker 环境直接用
environment:或.env（配合docker-compose --env-file） - Apache + mod_php 需在
VirtualHost中用SetEnv DB_PASS xxx，且确保AllowOverride None防止 .htaccess 覆盖
万一必须写配置文件，怎么防泄露？
如果因历史原因必须用 PHP 配置文件，至少做到三点：
- 把配置文件放在 Web 根目录之外，比如
/var/www/config/db.php放在/var/www/同级的/var/app-config/ - 配置文件本身以
.php结尾，并以开头，防止被直接访问时输出明文 - 禁止 Web 服务器解析非入口文件的 PHP：Nginx 中删掉
location ~ \.php$对非index.php的匹配；Apache 确保AllowOverride None且无额外AddType
mysql_connect() 和 PDO 的密钥传递方式有区别吗？
没有本质区别，密钥只是字符串参数，但构造方式影响可维护性：
