数据库密码别明文写在代码里传Git，爬虫24小时扫这种信息，分分钟拖走你整个库

新手写PHP项目，把数据库密码、微信支付密钥全明文写在配置文件里，觉得自己私有仓库没人看，结果传到Git公开仓库，分分钟被爬虫扒走，数据库被人拖走。敏感信息的管理其实就几个简单原则：第一，数据库密码、API密钥、支付密钥这些敏感信息，别明文写在代码里，存在服务器的环境变量里，代码里读取环境变量的值，别直接硬编码；第二，含敏感信息的配置文件，一定要加进.gitignore，别传到公开Git仓库，不然全网的爬虫24小时在扫这些公开仓库里的连接字符串，扒到密码直接连你数据库；第三，就算是私有仓库，也别把生产环境的密钥传上去，不同环境的密钥分开，开发环境用测试密钥，生产用正式密钥，别搞混；第四，发现密钥泄露了，立刻换密码，改数据库连接、改API密钥，别等数据库被拖了才反应。

我之前就是把数据库密码明文写在配置文件里传到Git，朋友提醒我才赶紧加进gitignore，换了新密码。很多新手觉得自己的仓库没人看，明文写密码无所谓，结果爬虫根本不看你仓库是私有还是公开，只要扒到明文密码，就直接连你数据库，把数据全拖走。真的，敏感信息别硬编码在代码里，前期多花两分钟，后期不会因为密码泄露丢整个数据库。