Laravel上线时.env配置错误会导致500错误、数据库连接失败等，根本原因是APP_ENV不合法、APP_DEBUG未关闭、APP_URL不完整、敏感值明文写死或缓存未刷新；须确保.env与artisan同级、无BOM、APP_ENV=production、APP_DEBUG=false、APP_URL带https协议，APP_KEY需生成且唯一，DB_PASSWORD建议用系统环境变量注入，并严格按config:clear→修改.env→config:cache流程刷新缓存。
上线 Laravel 项目时，.env 文件配置错误会导致 500 错误、数据库连接失败、CSRF 验证失败、静态资源 404 或 session 丢失，根本原因是 APP_ENV 不合法、APP_DEBUG 未关闭、APP_URL 填写不完整、敏感值明文写死或缓存未刷新。
确认 .env 存放位置与基础结构
打开终端，进入项目根目录（即包含 artisan、composer.json、app/、config/ 的目录），运行 ls -la 查看是否存在 .env 文件。
若不存在，执行 cp .env.example .env 创建基础文件；【必须确保该文件与 artisan 同级】，否则 Laravel 启动时完全忽略它，所有 env() 调用返回 null。
用 nano 或 vim 编辑 .env，第一行必须是 APP_NAME=Laravel，最后一行不能有空行或不可见字符——某些编辑器会在保存时自动添加 BOM 头，导致 Dotenv 解析中断，后续所有变量失效。
设置生产环境核心参数
将以下三行严格按格式写入 .env，顺序不可调换：
APP_ENV=production
APP_DEBUG=false
APP_URL=https://yourdomain.com
APP_ENV 只接受 local/staging/production 三个值，写成 prod、live 或 production-env 都会导致整个 .env 被跳过；【APP_DEBUG=false 是硬性要求，不是可选项】，否则异常堆栈会直接输出数据库密码和服务器路径。
APP_URL 必须带 https:// 协议头，结尾不能加斜杠；填成 http://localhost 或 www.example.com 会导致 asset() 生成的 JS/CSS 路径错乱，前端请求全部 404。
安全注入数据库与密钥
方法一：本地生成密钥后部署
在部署机上运行 php artisan key:generate --show，复制输出的 32 位 base64 字符串，填入 .env 的 APP_KEY 行；【严禁复用其他项目的 APP_KEY 或手写字符串】，否则加密 session 全部失效，用户反复登出。
方法二：数据库密码不写进 .env
删除 .env 中的 DB_PASSWORD=xxx 这一行，改用系统环境变量注入：在 Linux 上执行 export DB_PASSWORD='your_real_password'，再启动 PHP-FPM；Laravel 优先读取 $_SERVER['DB_PASSWORD']，.env 仅作 fallback。
方法三：验证密码是否生效
运行 php artisan tinker --execute="dd(env('DB_PASSWORD'))"，终端应直接输出密码字符串；如果返回 null，说明 APP_ENV 错误或 .env 权限被拒，立刻检查 chmod 644 .env 和 git status 是否误提交过。
刷新配置缓存并验证生效
第一步：清除旧缓存
php artisan config:clear
第二步：修改 .env 文件（如调整 DB_HOST 或 APP_DEBUG）
第三步：重建缓存
php artisan config:cache
第四步：验证是否加载成功
cat bootstrap/cache/config.php | grep 'APP_ENV' —— 输出应为 'env' => 'production', 而不是 'env' => 'local'
这一步操作起来很简单，但漏掉 config:clear 就等于没改；缓存文件一旦生成，.env 任何变更都彻底无效，重启 PHP-FPM 也无用。
