必须使用%env(resolve:db_password)%而非%env(db_password)，因后者不触发解析导致连接串含字面量而报错；.env.local易泄露，推荐symfony secrets:set加密存储；生产环境应由系统层（如k8s secret）注入密钥，避免应用代码接触。
环境变量没配好，DATABASE_URL 会直接报错或连错库
很多人把 DATABASE_URL 写成 mysql://user:password@host/db，再用 %env(DB_PASSWORD)% 替换密码，结果启动就失败。根本原因是 Symfony 不会自动解析裸 %env(DB_PASSWORD)% —— 它只会原样保留字符串，导致连接串里出现字面量 %env(DB_PASSWORD)%，MySQL 报错 Access denied for user 'user'@'host' 或更模糊的 Unknown database '%env(DB_PASSWORD)%'。
必须用 %env(resolve:DB_PASSWORD)%，resolve: 前缀是触发解密/替换的关键开关。它告诉 Symfony：这个 env 变量可能被加密、需要解码、或来自 Vault 等外部源，别跳过。
-
DATABASE_URL=mysql://user:%env(resolve:DB_PASSWORD)@10.0.2.5:3306/app✅ -
DATABASE_URL=mysql://user:%env(DB_PASSWORD)@10.0.2.5:3306/app❌（值未注入时，连接串含字面量） -
doctrine.dbal.url: 'mysql://user:xxx@...'❌（YAML 字符串字面量绕过所有 env 解析）
.env 文件不是安全容器，symfony secrets:set 才是本地开发的底线
把 DB_PASSWORD=xxx 写进 .env.local 并加 .gitignore，看似安全，实则脆弱：开发者调试时可能 git add -f .env.local；CI 流水线若误读该文件，密码就进了构建日志；Docker 构建时若 COPY 了它，镜像层里就永久残留。
Symfony 5.4+ 的 symfony secrets:set DATABASE_URL 是更可控的选择。它用项目专属密钥加密后存入 config/secrets/prod/，且仅在 CLI 环境下解密 —— Web 请求无法触发解密逻辑，规避了通过 HTTP 接口泄露的风险。
- 运行
symfony secrets:set DATABASE_URL后，DATABASE_URL值只对php bin/console可见，Web 请求中$_ENV['DATABASE_URL']为空 - 加密密钥由
APP_SECRET衍生，需确保APP_SECRET本身不硬编码、不提交 - 不适用于容器化部署（K8s Secret / Docker --secret 更合适），但对本地开发是明确优于
.env.local的折中方案
生产环境必须跳过应用代码读取密钥，由系统层注入
让 PHP 或 Java 应用自己去调 Vault API 拉密码，等于把 Vault 访问密钥写进代码或配置 —— 这只是把一个密钥换成另一个更危险的密钥。真正的安全边界在进程启动前。
生产环境应由操作系统或编排平台完成注入：
- Kubernetes：用
Secret挂载为env，而非卷；避免容器内执行cat /mnt/secret/password直接读取 - systemd service：
Environment=DB_PASSWORD=xxx，配合ProtectHome=true和PrivateTmp=true - Docker：
docker run -e DB_PASSWORD=xxx，禁用--env-file（文件内容易被误 commit 或 log） - AWS ECS：用
secrets字段绑定 Secrets Manager ARN，ECS agent 在容器启动时注入环境变量
关键点：密钥从不落地为文件，也不经应用代码中转 —— 它只存在于进程内存页中，且生命周期与进程一致。
本地开发用 direnv 加载 .env，但必须校验空值和空格
os.getenv('DB_PASSWORD') 或 System.getenv("DB_PASSWORD") 看似简单，实际踩坑多：值为空时静默失败；密码含 $ 被 shell 展开；.env 里写成 DB_PASSWORD = "xxx" 导致值开头带空格，连接时提示 Access denied 却查不出原因。
必须封装校验逻辑：
import os
def get_db_credential(key, required=True):
val = os.getenv(key)
if required and not val:
raise ValueError(f"Missing required env var: {key}")
return val.strip() if isinstance(val, str) else val
DB_PASSWORD = get_db_credential("DB_PASSWORD")
DB_HOST = get_db_credential("DB_HOST")
同理，Node.js 应用需用 process.env.DB_PASSWORD?.trim()，Go 需 strings.TrimSpace(os.Getenv("DB_PASSWORD"))。空值和首尾空格是线上故障最常被忽略的细节。
