app_secret必须是随机、固定且32字节以上的二进制密钥，用于symfony签名与解密；开发用.env设置（需.gitignore），生产必须设为系统环境变量，变更将导致session、remember me及secrets全部失效。
APP_SECRET 必须是随机、固定、且在所有环境中保持一致的 32 字符以上字符串；它不是“密码”，而是 Symfony 加密/签名操作的主密钥，一旦变更会导致 session 失效、remember me 令牌作废、secrets 解密失败。
APP_SECRET 在 .env 中设置（仅开发）
这是最直接的方式，但只适用于本地和非生产环境：
-
.env文件里写：APP_SECRET=6a8b1c9e2f0d4a6b8c3e1f9a7d2c5b0a（用php -r "echo bin2hex(random_bytes(32));"生成） - 不能用
APP_SECRET=%env(APP_SECRET)%这种循环引用，会报错The environment variable "APP_SECRET" is not defined - 确保
.env已被.gitignore忽略，否则明文密钥会被提交到仓库 - 如果同时存在
.env.local，它会覆盖.env中的值，适合本地调试时临时替换
APP_SECRET 作为系统环境变量（生产必需）
生产环境绝不能依赖 .env 文件——必须由操作系统级环境变量提供：
- Nginx/Apache 配置中通过
fastcgi_param APP_SECRET "xxx"或SetEnv APP_SECRET xxx注入 - Docker 部署时用
environment:或--env APP_SECRET=...传入 - Kubernetes 用
envFrom: secretRef挂载 Secret，再映射为环境变量 - 验证是否生效：运行
bin/console debug:container --env-var=APP_SECRET，或在控制器里dd($_SERVER['APP_SECRET'] ?? $_ENV['APP_SECRET'])
APP_SECRET 和 secrets:encrypt 的关系
APP_SECRET 不是用来“加密 secrets 目录”的工具密钥，而是它的解密密钥：
- 执行
php bin/console secrets:set DATABASE_PASSWORD --env=prod时，Symfony 用当前APP_SECRET值对输入内容 AES-256 加密，并存为config/secrets/prod/xxx.s3 - 部署后，只要系统环境变量中存在同值的
APP_SECRET，Symfony 就能自动解密读取%env(resolve:DATABASE_PASSWORD)% - 如果改了
APP_SECRET，所有已加密的 secrets 都无法解密——不是“重设”，而是“不可逆失效” - 所以不要把它当成可轮换的普通密钥；它应像数据库 root 密码一样，初始化后长期固定
最容易被忽略的一点：APP_SECRET 的长度和随机性直接影响签名防篡改能力。用 random_bytes(32) 生成，别手敲、别复用、别 base64 编码后截断——PHP 内部需要原始二进制字节，框架会自动 hex 或 base64 处理输出，但输入必须足长且不可预测。
