使用环境变量管理API密钥，通过.env文件（加入.gitignore）和vlucas/phpdotenv包加载，生产环境配置系统级变量，结合最小权限与定期轮换，确保敏感信息不进代码和版本库。
在使用 Composer 管理的 PHP 项目中，处理 API 密钥等敏感信息时，绝不能将密钥硬编码在代码中或提交到版本控制系统（如 Git）。这样做会带来严重的安全风险。以下是几种安全处理方式。
使用环境变量存储敏感信息
将 API 密钥等配置信息保存在环境变量中是最常见的做法。PHP 可通过 getenv() 或 $_ENV 超全局变量读取。
操作方法：
- 在项目根目录创建 .env 文件，用于存放环境变量，例如：
API_KEY=your_secret_key_here - 在代码中加载 .env 文件并读取变量。推荐使用 vlucas/phpdotenv 这个 Composer 包：
然后在入口文件（如 index.php）中初始化：
$dotenv = Dotenv\Dotenv::createImmutable(__DIR__); $dotenv->load();
之后即可通过 getenv('API_KEY') 安全获取密钥。
将 .env 添加到 .gitignore
确保 .env 文件不会被提交到代码仓库：
- 在 .gitignore 中添加：
.env.env.local - 同时提供一个 .env.example 文件作为模板，供其他开发者参考，但不包含真实值。
生产环境使用系统级环境变量
在部署到生产环境时，不要依赖 .env 文件。应通过服务器或容器配置系统环境变量，例如：
- 在 Nginx + PHP-FPM 中通过 fastcgi_param 设置
- 在 Docker 中使用 environment 字段
- 在云平台（如 Laravel Forge、Heroku、Vercel）中通过控制台配置环境变量
这样即使攻击者访问到代码仓库或文件系统，也无法轻易获取密钥。
限制密钥权限并定期轮换
从安全策略角度：
- 为每个环境（开发、测试、生产）使用不同的 API 密钥
- 只授予密钥所需的最小权限
- 定期更换密钥，降低泄露后的风险
基本上就这些。核心原则是：敏感信息不进代码、不进版本库，通过环境隔离和权限控制提升安全性。
