PHP项目数据库配置信息安全存放方案-php教程-PHP中文网

数据库凭据严禁硬编码在config/database.php中，必须通过环境变量注入；生产环境由系统或容器层注入，开发环境用.gitignore保护的.env文件配合vlucas/phpdotenv加载，且须在框架初始化前完成。

php项目数据库配置信息安全存放方案

数据库凭据不能写在 config/database.php 里

硬编码数据库密码到 config/database.php 是最常见也最危险的做法。一旦该文件被 Web 服务器错误配置（如 .php 文件未被解析而直接返回源码），或被误提交进 Git、暴露在公开仓库中，凭据就等于贴在门口。ThinkPHP 官方文档明确指出：这等同于“将密钥明文张贴于服务器”。

环境变量是唯一可接受的注入方式，例如 DB_PASSWORD=Zx9#kL2!
生产环境必须由系统级或容器层注入，禁止通过 PHP 代码 putenv() 动态设置
本地开发可用 .env 文件，但必须确保其已加入 .gitignore，且权限设为 600

用 vlucas/phpdotenv 加载 .env 时要注意顺序和时机

vlucas/phpdotenv 不是万能钥匙——它只在加载时刻生效，且不会覆盖已存在的环境变量。如果框架（如 Laravel 或 ThinkPHP）在 Dotenv::load() 前就初始化了数据库连接，那 .env 里的值根本不会被读取。

DrugBank 数据库

访问并分析来自 DrugBank 数据库的全面药物信息，包括药物属性、相互作用、靶点、通路、化学结构和药理学数据。用于药物数据、药物发现研究、药理学研究、药物-

下载

必须在框架任何配置加载前执行 Dotenv::createImmutable(__DIR__)->load();
不要在 public/index.php 末尾加载，而应在入口最顶部、require 框架前完成
若使用 CLI（如 Artisan 或 ThinkPHP 的 php think），需单独在命令入口处加载，否则 getenv('DB_HOST') 返回空
验证是否生效：在连接前加一句 var_dump(getenv('DB_USER'));，不输出则说明加载失败或被覆盖

openssl_encrypt 加密数据库字段时 IV 必须每次随机生成

用 openssl_encrypt 对身份证号、手机号等字段加密时，若复用固定 IV，相同明文会产出相同密文，攻击者可通过频率分析还原数据。这不是理论风险，而是真实可复现的模式泄露。

IV 长度必须匹配算法：AES-256-CBC 要求 16 字节，调用 openssl_random_pseudo_bytes(16)
IV 无需保密，但必须随密文一同存储；推荐格式：base64_encode($iv.$ciphertext)
解密时先 base64_decode，再用 substr($decoded, 0, 16) 提取 IV，剩余部分为密文
切勿用 time() 或 microtime() 生成 IV——它们不够随机，且易预测

敏感配置从不进入日志或调试输出

即使凭据已从代码中剥离，仍可能因调试行为意外泄露。比如开启 ThinkPHP 的调试模式后，Db::getLastSql() 可能打印带参数的完整 SQL；又或者 var_dump($_ENV) 直接把 DB_PASSWORD 打出来。

禁用所有框架级 SQL 日志（如 ThinkPHP 的 'log_sql' => false）
检查所有 error_log()、print_r()、var_dump() 调用点，过滤含 password、key、secret 的键名
Web 服务器日志中禁止记录 $_SERVER['HTTP_AUTHORIZATION'] 和查询字符串（尤其含 api_key 时）
CI/CD 流水线中，禁止 echo $DB_PASSWORD 类操作——GitHub Actions 等平台会自动屏蔽变量，但控制台仍可能回显