ThinkPHP配置文件提交代码仓库要注意什么-ThinkPHP-PHP中文网

必须将.env、config/app.php中的真实密钥、config/database.php中的真实密码及runtime/目录排除在Git之外，因硬编码密钥会导致仓库泄露时凭据全暴露；.env须放根目录并加入.gitignore，配置文件中用env()读取且默认值仅为占位符。

thinkphp配置文件提交代码仓库要注意什么

绝对不能把含密钥的配置文件直接提交到 Git 仓库——尤其是 config/app.php、config/database.php 里写死的 app_key、password、host 等字段，一旦推送到公开或被入侵的远程仓库，数据库、Redis、第三方 API 凭据全暴露。

哪些配置文件必须从 Git 中排除

ThinkPHP 6+ 默认敏感项集中在以下位置，需确保它们不进版本库：

.env 文件：必须放在项目根目录，且已加入 .gitignore；它承载 APP_KEY、DB_PASSWORD 等所有运行时密钥
config/app.php 中的 'app_key' => env('APP_KEY', 'xxx')：这里的默认值（'xxx'）只是占位符，绝不能是真实密钥
config/database.php 中的 'password' => env('DB_PASSWORD', '')：同理，空字符串或占位符可接受，但真实密码必须由 .env 提供
runtime/ 目录：完全自动生成，含缓存、日志、模板编译结果，必须禁止提交（已在 ThinkPHP 默认 .gitignore 中）

为什么用 `env()` 而不是硬编码

硬编码配置在开发、测试、生产环境切换时极易出错，而 env('DB_HOST', '127.0.0.1') 这种写法带来三重保障：

btpanel phpsite 宝塔面板PHP网站

宝塔面板 PHP 网站管理：站点创建、删除、启停、PHP 版本切换、域名管理、SSL证书管理、伪静态管理、数据库管理

下载

本地开发用 .env 里的 DB_HOST=192.168.10.10，线上部署改 .env 即可，无需动代码
框架启动时自动加载 .env，但仅当 php think optimize:config 编译后才固化进缓存——若 .env 缺失或格式错误（比如漏掉 base64: 前缀），APP_KEY 会退回到默认值，导致 500 错误
env() 是轻量函数，比 Env::get() 少一次类加载，性能更稳

部署前必须验证的三个检查点

Git 推送前或服务器拉取后，快速确认是否埋雷：

执行 git status，确认 .env 不在待提交列表中；若显示为 untracked，说明还没加进 .gitignore，立刻补上
在服务器上运行 php think run 或访问首页，再看 runtime/log/ 下最新日志是否有 Environment variable "APP_KEY" is not defined —— 有则说明 .env 没生效或路径不对（必须在项目根目录，不能放 public/ 下）
执行 php think route:list，若报 Class 'think\facade\Route' not found，大概率是 config/app.php 被覆盖或 app_debug 关闭导致错误不输出，得回退该文件

最易被忽略的是 .env 文件权限和 Web 根目录隔离：Nginx 的 root 必须指向 public/，且要显式禁止访问 .env（如加 location ~ /\.env { deny all; }），否则 URL 输入 http://yoursite.com/.env 可能直接下载明文密钥。