在PHP项目开发过程中，将API密钥、数据库密码等敏感信息直接硬编码在代码文件中，很容易在代码提交、共享的过程中造成信息泄露，把密钥存储到环境变量是更安全的处理方式，能有效降低敏感信息暴露的风险。
为什么要把密钥存到环境变量
硬编码密钥的问题非常明显，一旦代码仓库被未授权访问，所有敏感信息都会直接暴露。而环境变量属于运行环境的配置，不会跟随代码一起提交到版本库，不同环境还可以配置不同的密钥值，比如开发环境、测试环境、生产环境可以使用不同的数据库密码，不需要修改代码逻辑。
系统层面配置环境变量
Linux/Mac系统配置
如果是使用Linux或者Mac系统作为运行环境，可以直接在服务器的环境变量配置文件中添加密钥。比如编辑/etc/profile或者用户目录下的.bashrc文件，添加如下内容：
# 配置数据库密钥 export DB_PASSWORD="your_db_password_here" # 配置API密钥 export API_KEY="your_api_key_here"
添加完成后执行source /etc/profile让配置生效，之后PHP就可以读取到这些环境变量了。
Windows系统配置
Windows系统可以通过系统属性设置环境变量，右键点击此电脑选择属性，进入高级系统设置，点击环境变量按钮，在用户变量或者系统变量中添加新的变量，变量名填写密钥的标识比如DB_PASSWORD，变量值填写对应的密钥内容即可。
使用dotenv工具管理环境变量
如果是本地开发或者需要更灵活的环境变量管理，推荐使用vlucas/phpdotenv这个第三方库，它可以读取项目根目录下的.env文件来加载环境变量，不需要修改系统层面的配置。
安装dotenv库
首先通过Composer安装这个库：
composer require vlucas/phpdotenv
创建.env文件
在项目根目录创建.env文件，在里面写入密钥配置，注意.env文件一定要添加到.gitignore中，避免被提交到代码仓库：
# 数据库配置 DB_HOST=127.0.0.1 DB_PORT=3306 DB_USER=root DB_PASSWORD=your_db_password # API密钥 PAY_API_KEY=your_pay_api_key
加载并读取环境变量
在PHP入口文件中加载.env文件，之后就可以通过getenv函数或者$_ENV超全局数组读取密钥：
<?php
require_once __DIR__ . '/vendor/autoload.php';
// 加载.env文件中的环境变量
$dotenv = DotenvDotenv::createImmutable(__DIR__);
$dotenv->load();
// 读取数据库密码
$dbPassword = getenv('DB_PASSWORD');
// 也可以使用$_ENV读取
$apiKey = $_ENV['PAY_API_KEY'];
// 使用密钥连接数据库示例
$dsn = "mysql:host=" . getenv('DB_HOST') . ";port=" . getenv('DB_PORT') . ";dbname=test";
try {
$pdo = new PDO($dsn, getenv('DB_USER'), $dbPassword);
echo "数据库连接成功";
} catch (PDOException $e) {
echo "数据库连接失败：" . $e->getMessage();
}
PHP读取环境变量的注意事项
- 使用
getenv函数读取环境变量时，如果变量不存在会返回false，建议读取后做存在性校验，避免后续逻辑出错。 - 生产环境不建议使用dotenv库，因为每次请求都解析
.env文件会有一定的性能损耗，生产环境可以直接配置系统环境变量。 - 环境变量的值如果是特殊字符，不需要额外转义，正常填写即可，PHP读取时会保留原始内容。
- 不要将
.env文件放在web可访问的目录下，避免被用户直接访问到导致密钥泄露。
常见问题解答
读取环境变量返回空怎么办
首先检查环境变量是否真的配置成功，可以在命令行执行echo $DB_PASSWORD（Linux/Mac）或者echo %DB_PASSWORD%（Windows）确认变量值是否存在。如果是使用dotenv库，检查.env文件路径是否正确，加载代码是否在读取变量之前执行。
环境变量可以存储复杂数据吗
环境变量一般只适合存储简单的字符串、数字类型的配置，不建议存储数组、对象等复杂结构，如果有复杂配置需求，可以存储JSON格式的字符串，读取后再解析成对应的结构。
注意：环境变量中的密钥属于敏感信息，除了不要提交到代码仓库，也不要在日志中打印环境变量内容，避免密钥通过日志泄露。