使用getenv()函数可安全读取PHP环境变量，推荐结合.dotenv文件与服务器配置管理多环境，避免敏感信息泄露。
在PHP应用开发中，读取环境变量是管理配置信息（如数据库连接、API密钥等）的常见做法。相比硬编码配置，使用环境变量能提升安全性与部署灵活性。以下是PHP中获取和安全使用环境变量的方法。
如何在PHP中读取环境变量
PHP提供了多种方式读取环境变量，最常用的是 getenv() 函数和超全局数组 $_ENV。
• 使用 getenv() 函数：该函数可以直接获取指定环境变量的值，推荐使用方式。
database_host = getenv('DB_HOST') ?: 'localhost';
立即学习“PHP免费学习笔记（深入）”；
• 使用 $_ENV 超全局数组：需确保PHP配置中启用了 variables_order 包含 "E"（Environment），否则 $_ENV 可能为空。
if (isset($_ENV['DB_PASSWORD'])) { $password = $_ENV['DB_PASSWORD']; }
因为 getenv() 更可靠，不受 php.ini 中 variables_order 设置影响，兼容性更好。
环境变量的设置方式
环境变量可在不同层级设置，根据运行环境选择合适方式。
• Linux/Unix 系统命令行：export DB_HOST=localhost && php index.php
开发环境中常用 .env 文件管理变量，部署时由系统注入真实值。
示例 .env 文件内容：
DB_HOST=127.0.0.1
DB_USER=root
DB_PASS=secret
在代码中加载：
if (file_exists('.env')) { $dotenv = Dotenv\Dotenv::createImmutable(__DIR__); $dotenv->load(); }
生产环境建议通过Web服务器或容器编排平台（如Docker、Kubernetes）注入环境变量，避免文件暴露。
安全使用环境变量的注意事项
环境变量虽提升了配置管理的安全性，但使用不当仍可能造成信息泄露。
• 避免在错误信息中输出敏感数据：不要将数据库密码、密钥等直接打印到页面或日志中，尤其是在调试模式下。
• 不将敏感变量提交到版本控制：.env 文件应加入 .gitignore，防止密钥被上传至GitHub等平台。
• 生产环境禁用不必要的变量输出：避免使用 phpinfo() 或 var_dump($_ENV) 等函数暴露全部环境变量。
• 验证和过滤输入：即使来自环境变量，也应校验其格式与合法性，防止注入或配置错误。
总结
PHP通过 getenv() 和 $_ENV 可灵活读取环境变量，结合 .env 文件和服务器配置可实现多环境适配。关键是始终遵循最小权限原则，确保敏感信息不被意外暴露。合理使用环境变量，能让应用更安全、更易于部署。
基本上就这些。
