数据库密码别写代码里传到公开Git，三天被人扫到，数据库异地登录差点被拖库

新手写PHP项目，把数据库账号密码、接口密钥直接写在代码里，传到公开Git仓库，三天就被人扫到，数据库异地登录，差点被拖库，其实敏感信息用环境变量存，根本不会泄露。第一，所有敏感信息，比如数据库密码、第三方接口密钥、支付密钥，别写在代码里，存在服务器的环境变量里，代码里只读环境变量的值，不存明文；第二，环境变量文件加进.gitignore，别传到公开仓库，不然等于把密钥公开；第三，本地开发和生产环境的环境变量分开，本地用本地的测试密钥，生产用正式的，别混了，不然本地测试的时候把生产密钥泄露；第四，别把环境变量文件放在网站能访问的目录里，就算文件被拿到，里面的密钥也不会被别人读到。

我之前第一次写项目，把数据库密码直接写在config.php里，传到GitHub，三天就发现数据库有异地登录，赶紧改密码，之后所有敏感信息全放环境变量，再也没泄露过。很多新手觉得密钥写在代码里方便，传到公开仓库的时候，所有敏感信息全公开，被人扫到就等着数据被拖，花十分钟把敏感信息挪到环境变量，安全多了。