db_password含@、%、!时需加双引号，等号两侧不可有空格；否则dotenv静默失效导致密码截断、调试模式意外开启、密钥泄露等隐患。
DB_PASSWORD含@、%、!时连接失败，不是密码错而是解析被截断
ThinkPHP 用 vlucas/phpdotenv 解析 .env，但该库在不同版本中对引号的处理逻辑不一致。TP6/TP8 默认用的是较新版本（v5.4+），它会把未加引号的 DB_PASSWORD 值中出现的 @、%、!、$ 等字符当作 shell 变量或占位符处理，导致实际读到的密码被截断或转义。
比如 DB_PASSWORD=abc@123% 在运行时可能变成 abc 或 abc@123（% 后被丢弃），PostgreSQL/MySQL 就直接报认证失败，错误信息里却只显示“Access denied”，根本不会提示是环境变量没读全。
实操建议：
- 所有含特殊字符的密码必须用双引号包裹：
DB_PASSWORD="abc@123%"✅ - 单引号在新版 dotenv 中反而不生效（会被当字面量，连
$都不展开，但 TP 不依赖展开，所以单引号也能用；不过为兼容 Laravel 生态和 CI 工具链，统一用双引号更稳妥） - 验证方式：在控制器里写
dump(getenv('DB_PASSWORD'));，看输出是否和.env里写的完全一致
等号两侧有空格导致整个.env静默失效
.env 文件格式错一个空格，整个文件就不再加载——vlucas/phpdotenv 不会报错，也不会 warn，而是直接 fallback 到 PHP 默认值或配置文件里的硬编码值。你改了 DB_HOST 却连不上，查半天发现其实是 DB_HOST = 127.0.0.1 这种写法让整行被跳过。
这种失效是静默的，没有日志、没有异常、甚至 env('DB_HOST') 返回 null 或默认值，你得自己意识到“为什么我明明写了却没生效”。
实操建议：
- 等号左右**绝对不能有空格**：
DB_PORT=3306✅，DB_PORT = 3306❌ - 用编辑器开启“显示不可见字符”，确认每行结尾无多余空格或制表符
- 避免用 Word、WPS 或微信粘贴内容——它们会悄悄插入全角空格或零宽字符
- 如果怀疑格式问题，用
cat -A .env（Linux/macOS）或xxd .env（查看十六进制）确认是否含^M、M-bM-^@M-^@等非法字节
APP_DEBUG=false 但调试信息仍泄露，是因为.env没被正确加载
你以为关了调试模式就安全了？如果 .env 因格式错误没加载成功，env('APP_DEBUG') 就会返回 null，而 ThinkPHP 的 config/app.php 里那句 'debug' => env('APP_DEBUG', true) 就会 fallback 到 true——结果就是线上环境意外开启调试，数据库配置、SQL 语句、路径全打在页面上。
这不是配置写错了，是环境变量压根没进来，框架退回到了最原始的默认行为。
实操建议：
- 上线前必做检查：在入口文件
public/index.php最顶部加一行var_dump(env('APP_DEBUG')); exit;，确认输出是false（不是null或string(0) ""） - 不要在
config/下的任何 PHP 配置文件里调用env()，因为此时.env可能尚未加载（初始化顺序问题） - 真正可靠的判断方式是：在控制器里执行
env('APP_DEBUG', 'not_loaded')，看是否返回'not_loaded'
Git 提交了.env后被扫描出密钥，删掉也来不及
一旦 .env 被提交进 Git，历史记录里就永远存在。即使你 git rm --cached .env 并加进 .gitignore，攻击者仍可通过 git log -p 或公开的 GitHub 搜索工具（如 GitRob、TruffleHog）瞬间捞走所有密码。
更麻烦的是，很多团队删完还忘了清空 CI/CD 流水线缓存、Docker 构建上下文、SaaS 平台的部署快照——那些地方可能还躺着旧版 .env 的副本。
实操建议：
- 立即执行
git filter-repo --invert-paths --path .env --force（推荐）或bfg --delete-files .env彻底从历史中剥离 - 所有已泄露的数据库密码、API Key 必须立刻重置，不能只改
.env - 后续强制使用
.env.example：只保留键名，值全用占位符，例如DB_PASSWORD="your_password_here" - CI 环境禁用
.env文件，改用平台提供的 secret 注入机制（如 GitHub Actions secrets、GitLab CI variables）
php免费学习视频：立即使用
踏上前端学习之旅，开启通往精通之路！从前端基础到项目实战，循序渐进，一步一个脚印，迈向巅峰！
