硬编码密钥等于将数据库密码、jwt密钥直接暴露在服务器上，一旦代码泄露、配置错误或web规则缺失即导致敏感信息裸奔；必须通过环境变量（如php-fpm或docker注入）替代，并配合web服务器拦截规则（如nginx中deny all禁止访问.env和config目录），同时对dsn中特殊字符使用rawurlencode()编码，加密配置文件只是伪安全，关键在于隔离密钥与代码路径、严格控制访问权限。
因为硬编码密钥等于把数据库密码、JWT密钥直接贴在服务器门口——只要代码泄露、配置误读、日志输出或Web服务器规则漏配，敏感信息就裸奔。
硬编码配置文件会被直接下载或解析
ThinkPHP 的 config/database.php 是 PHP 文件，但一旦 Web 目录权限错配（比如 Nginx 把 .php 规则写漏），它可能被当作纯文本返回。浏览器访问 /config/database.php 就能看到明文 'password' => '123456'。同样，.env 文件默认不被 Web 服务器拦截，https://example.com/.env 能直接下载——这不是 ThinkPHP 的缺陷，而是部署时没加 location ~ /\.env$ { deny all; } 这类规则。
环境变量让密钥脱离代码路径和 Git 历史
把 DB_PASSWORD、JWT_SECRET 等挪到服务器级环境变量（如 PHP-FPM pool 配置里的 env[DB_PASSWORD] 或 Docker 的 -e DB_PASSWORD=...），就能做到：
- Git 提交里永远不出现密钥——
.env加进.gitignore，database.php里只剩'password' => getenv('DB_PASSWORD') - CI/CD 流水线可对
config/database.php执行grep -q "password\|secret" && exit 1，防手抖提交 - 不同环境（dev/staging/prod）用不同变量值，无需改代码或分支
rawurlencode() 是 MySQL DSN 的必填项
环境变量读出来的密码若含 @、/、: 等字符，直接拼进 MySQL DSN 会解析失败，报错 SQLSTATE[HY000] [1045] Access denied。必须手动编码：
'username' => rawurlencode(Env::get('database.username')),
'password' => rawurlencode(Env::get('database.password'))
注意：urlencode() 会把空格转成 +，而 DSN 要求是 %20，所以只能用 rawurlencode()。
加密不是替代方案，而是叠加风险
有人想“加密 .env 内容”或“用 AES 加密数据库密码再存进配置”，这反而引入新漏洞：
- 解密密钥放哪？如果也硬编码或放环境变量，等于套娃，没解决根本问题
- ThinkPHP 在加载
config/database.php时还没初始化加密扩展，think-crypt会报循环依赖 - 连接建立后，明文密码已在内存中，加密只骗过了文件扫描，骗不过进程内存 dump
真正该盯住的是：环境变量是否只被 PHP 进程读取、Web 服务器是否屏蔽了所有敏感路径、部署包里有没有残留测试凭据——这些点漏一个，加密就归零。
php免费学习视频：立即使用
踏上前端学习之旅，开启通往精通之路！从前端基础到项目实战，循序渐进，一步一个脚印，迈向巅峰！
