密钥别硬写代码里：.env文件存配置，Git不传密钥

新手做项目，把数据库密码、API密钥直接写在代码里，传到GitHub上，密钥全公开，网站瞬间被黑，今天说正确的环境配置分离。

用.env文件存敏感信息

把数据库密码、API密钥、第三方接口密钥，全放在项目根目录的.env文件里，代码里读这个文件的变量，别把密钥硬写在代码里。

.env文件别传到Git

在.gitignore里把.env文件排除，本地保留，上传代码到Git的时候不会把密钥传上去，别人看不到你的密码。

不同环境用不同配置

开发环境用本地的数据库，生产环境用服务器的数据库，两个.env文件分开，换环境的时候只换.env，不用改代码。

这是新手项目最容易忽略的点，别把密码硬写代码里，十分钟就能改好，避免大问题。