PHP项目中敏感信息最常从.git提交、phpinfo()页面、错误日志三处意外泄露；.env须入.gitignore并确认未被跟踪，禁用display_errors改用log_errors，删除所有调试函数残留。
PHP 项目里哪些地方最容易泄露 .env 或数据库密码
敏感信息不是藏在代码里就安全了——它最常从三处意外暴露：.git 提交、phpinfo() 页面、错误日志。比如你改了 .env 文件但没加进 .gitignore，或者用 error_log($config) 调试时把整个配置数组打出去，再或者本地开发开了 display_errors = On，报错直接吐出数据库连接串。
-
.env文件必须出现在.gitignore第一行，且确认没被 git 跟踪过（用git check-ignore -v .env验证） - 禁用生产环境的
display_errors，改用log_errors = On，并确保error_log路径不可被 Web 访问（比如放在/var/log/myapp/而非public/下） - 上线前删掉所有
phpinfo()、var_dump()、print_r()调试残留，特别是控制器或中间件里“临时看看”的那行
用 getenv() 还是 $_ENV 读取环境变量更可靠
getenv() 是 PHP 原生函数，能跨 SAPI（CLI/FPM/Apache 模块）稳定读取，而 $_ENV 是否可用取决于 variables_order 配置，默认可能为空。很多 Laravel 或 Symfony 项目自己封装了 env() 函数，底层其实也是优先调用 getenv()，再 fallback 到 $_SERVER。
- 永远用
getenv('DB_PASSWORD')，别依赖$_ENV['DB_PASSWORD'] - 如果用了
putenv()动态设置（比如测试时），注意它只对当前请求有效，且不能覆盖已加载的$_ENV数组 - 在 CLI 环境下（如 Artisan 命令），
getenv()读的是 shell 环境变量；在 FPM 下，得靠 web 服务器（Nginx/Apache）显式传入，否则为空
PHP 8.1+ 的 readline() 和 getpass() 能替代密码输入吗
不能直接替代。PHP 8.1 引入的 readline() 只是提供行编辑能力，真正隐藏输入的是 readline_callback_handler_install() 配合回调；而 getpass() 是 CLI 下的密码输入函数，但它不处理空格、退格等交互细节，且只在 CLI SAPI 中可用，Web 环境根本用不了。
- Web 表单输密码：必须走 HTTPS + 前端
type="password"+ 后端校验，别试图用 PHP 函数“隐藏”用户输入 - CLI 工具需要输密码（如部署脚本）：用
getpass()是合理选择，但记得检查 PHP 版本（function_exists('getpass')） - 任何情况下都不要把密码存进 session 或 cookie，哪怕加密过——session 文件权限设错、cookie 被 XSS 窃取，都是高危点
Composer install 时怎么避免 vendor/ 里带敏感配置文件
有些包（尤其是旧版 SDK 或私有工具）会在 vendor/ 里放示例配置，比如 aws-sdk-php 的 samples/config.php，里面硬编码了密钥。Composer 不会自动过滤这类文件，一旦被 Web 服务器误配成可访问路径（如 https://example.com/vendor/aws/aws-sdk-php/samples/config.php），就会直接暴露。
立即学习“PHP免费学习笔记（深入）”；
- 上线前用
find vendor/ -name "*.php" -exec grep -l "secret\|key\|password" {} \;扫一遍，人工确认 - Nginx 配置里加
location ^~ /vendor/ { return 403; }，Apache 加RedirectMatch 403 ^/vendor/ - 私有包统一用 Composer 的
autoload-dev分离示例代码，生产 install 时加--no-dev
环境变量和代码的边界比想象中模糊——你以为删掉 .env 就安全了，结果调试日志里留着一串 base64 编码的密钥，解码后还是明文。真正的控制点不在“怎么藏”，而在“谁能在哪一步看到”。
