你的 laravel 网站可能因调试模式开启而暴露 `.env` 文件敏感信息，攻击者借此窃取 smtp 凭据并滥发邮件；立即禁用调试模式、加固环境配置是首要应对措施。
当你的收件箱中突然出现类似 LARAVEL SMTP CRACK | HOST: mail.wokforge.com 的异常邮件，并附带完整的 SMTP 账号、密码、.env 文件 URL（如 http://129.159.148.xx/.env），这明确表明：攻击者已成功读取你服务器上的 .env 文件，并利用 Laravel 应用在调试模式（APP_DEBUG=true）下暴露的详细错误页面或未受保护的文件路径，获取了数据库、邮箱等核心凭证。
这类攻击并非“SMTP 漏洞”，而是典型的配置泄露+权限失控组合风险。Laravel 在 APP_DEBUG=true 且 Web 服务器（如 Nginx/Apache）未正确限制 .env 访问时，极易被扫描工具发现并下载 .env —— 其中明文存储的 MAIL_USERNAME 和 MAIL_PASSWORD 随即被用于非法邮件中继。
✅ 紧急处置步骤（立即执行）：
-
关闭调试模式：编辑 .env 文件，确保以下两行严格设为生产值：
APP_ENV=production APP_DEBUG=false
✅ 同步检查 config/app.php 中 'debug' => env('APP_DEBUG', false) 是否未被硬编码为 true。
-
禁止 Web 直接访问 .env：
-
Nginx：在站点配置中添加：
location ~ /\.env { deny all; } -
Apache（.htaccess）：
Order Allow,Deny Deny from all
-
Nginx：在站点配置中添加：
-
重置所有泄露凭证：
- 立即修改 SMTP 账户密码（如 MAIL_USERNAME 对应的邮箱密码）；
- 若 .env 中含数据库、Redis、API Key 等，全部轮换；
- 检查 storage/logs/laravel.log 中近期是否有异常 500 错误或大量邮件发送记录。
-
验证修复效果：
⚠️ 重要提醒：
- 不要仅依赖 .env 权限（如 chmod 644），Web 服务器配置才是第一道防线；
- 生产环境严禁使用 php artisan serve；
- 建议启用 Laravel 的 trusted proxy 和 HTTPS 强制跳转；
- 后续可引入 laravel-telescope（开发环境）或 spatie/laravel-ignition（生产精简版）替代原生 debug 工具。
安全不是功能，而是持续实践。一次 .env 泄露可能引发连锁攻击——从垃圾邮件到账户接管，再到数据勒索。从今天起，让 APP_ENV=production 成为部署流水线的强制校验项。
