PHP 项目如何配置与管理密钥

真实项目一定会遇到：

数据库密码
API Key
JWT Secret
第三方 Token

不要硬编码

不要把生产密码直接写进 PHP 源码，更不要提交到公开 Git 仓库。

环境变量

$dbPassword = getenv("DB_PASSWORD");

Docker、CI/CD 和服务器都可以注入环境变量。

.env

很多项目会使用：

DB_HOST=127.0.0.1
DB_DATABASE=test
DB_USERNAME=root
DB_PASSWORD=secret

.env 通常应该加入 .gitignore。

.env.example

仓库可以提供：

DB_HOST=
DB_DATABASE=
DB_USERNAME=
DB_PASSWORD=

只描述需要哪些配置，不放真实秘密。

密钥泄露怎么办？

如果 Secret 已经提交到 Git：

删除文件并不能让已经泄露的密钥失效。

正确做法是立即轮换密钥，然后再清理历史记录和泄露渠道。