ThinkPHP敏感配置为什么不建议写进config文件-ThinkPHP-PHP中文网

敏感配置严禁硬编码在config/database.php中，否则会随git提交导致泄露；必须通过.env文件定义db_password等变量，并在database.php中显式调用env('db_password')读取，同时严格禁止web访问.config/目录及.env文件。

thinkphp敏感配置为什么不建议写进config文件

敏感配置硬编码在config/database.php会直接进Git仓库

很多人把DB_PASSWORD、APP_KEY这类值直接写进config/database.php或config/app.php，结果上线后被扫库工具抓取，数据库瞬间失守。ThinkPHP 6+ 默认启用 dotenv 支持，但框架不会自动把.env内容塞进配置——你得手动在配置文件里调用env('DB_PASSWORD')，否则.env形同虚设。

.env必须放在项目根目录（和public/同级），且 Web 服务器禁止对其直接访问
环境变量名必须全大写+下划线，比如DB_HOST，不能写成db_host或db-host
env()函数只在配置文件中有效；在控制器或中间件里用$_ENV['DB_HOST']大概率是undefined index
本地开发时env('DB_PASSWORD', 'root')的默认值仅作兜底，上线后必须删掉第二参数，否则密码可能意外暴露

config目录下的PHP文件会被缓存并覆盖，.env才是唯一可信来源

ThinkPHP 启动时会把所有config/*.php合并后写入runtime/config.php。一旦开启配置缓存（app.app_debug = false时默认开启），后续修改config/database.php根本不会生效——因为框架读的是缓存文件。而.env只在初始化早期读一次，它不进缓存，也不受config:clear影响，是部署时唯一能动态切换的入口。

改了.env但数据库连不上？先检查runtime/config.php里对应键是否已更新
服务器上php-fpm用户若无权读.env（比如权限是600但属主不是www-data），env()返回null，连接直接失败
runtime/目录必须可写，否则缓存写不进去，CPU 可能飙升——这不是配置问题，是权限问题

Web服务器能直接下载config/*.php，只要没拦住就等于裸奔

Apache 或 Nginx 若未显式禁止，访问http://yoursite.com/config/database.php会原样输出明文密码。这不是“理论上可能”，而是真实发生过的高频漏洞。单纯靠chmod 644或加<?php exit; ?>毫无意义——如果 PHP 解析器没触发，文件就当纯文本返回。

PHP

编写健壮的PHP代码，规避类型转换陷阱、数组怪癖及常见安全漏洞。

下载

最可靠做法：把config/目录移出 Web 根目录，比如放到/var/www/myapp/config/，而 Web root 是/var/www/myapp/public/
Nginx 必须加location ~* \.(env|config|ini)$ { deny all; }，注意用~*而非^~，否则正则规则可能被通用 rewrite 覆盖
Apache 的.htaccess要放在项目根目录（不是public/），且AllowOverride All必须在虚拟主机配置中启用
application/、runtime/、common/这些目录同样要一并禁止访问，它们也存着敏感信息

多环境部署时config/*.php无法安全复用

测试环境和生产环境的数据库地址、Redis 密码、第三方 API Key 绝对不能共用一个config/database.php。ThinkPHP 6+ 的环境配置机制要求你按APP_ENV值加载config/{env}/database.php，但这个机制只对 PHP 文件生效，.env才是跨环境一致的注入源。

别把config/prod.php当成环境配置文件——它不存在；正确路径是config/production/database.php
环境目录名必须和.env中APP_ENV=production的值完全一致（区分大小写）
环境配置不是叠加，而是合并：同名字符串键会被覆盖，数字键会追加——如果你在config/production/database.php里漏写了'prefix'，它会继承config/database.php里的值，这未必是你想要的
CI/CD 流水线往服务器写.env比替换整个config/目录更安全、更原子