在Bluehost生产服务器上无法通过PHP访问环境变量的问题

一、关于生产环境.env文件的疑问 #

• 「生产服务器不应将.env文件上传至网站根目录」的说法正确，网站根目录下的文件若配置不当可能被直接访问，导致敏感信息泄露。
• 将.env文件与phpdotenv放在网站根目录外部完全可行，只要确保PHP对该目录有读取权限，同时给.env文件设置600权限（仅所有者可读可写），避免其他用户访问。

二、这种方式对比硬编码/PHP常量的优势 #

• 敏感信息与代码解耦：敏感数据不会混入代码仓库，避免提交到Git等公共仓库时泄露。
• 环境隔离便捷：本地、测试、生产环境可使用不同的.env文件，无需修改核心代码。
• 配置变更灵活：修改敏感信息（如数据库密码）只需调整.env文件，无需改动PHP代码，降低出错风险。
• 安全性更高：.env文件可设置严格权限，相比硬编码在PHP文件中，能避免因PHP解析失败导致源码暴露的风险。

三、Bluehost上PHP无法读取Shell环境变量的解决办法 #

你在.bash_profile/.bashrc中配置的是Shell会话级环境变量，但Bluehost的PHP运行环境（Apache mod_php或PHP-FPM）不会加载这些Shell配置文件，因此无法读取。以下是可行方案：

方案1：使用Apache .htaccess配置（适用于Apache服务器） #

在网站根目录的.htaccess文件中添加：

SetEnv DB_SERVERNAME servername
SetEnv DB_USERNAME username
SetEnv DB_PASSWORD password
SetEnv DB_NAME databasename

配置完成后，PHP可通过getenv('DB_SERVERNAME')或$_SERVER['DB_SERVERNAME']读取变量。

方案2：使用PHP .user.ini文件（适用于CGI/FPM模式） #

在网站根目录创建.user.ini文件，写入：

DB_SERVERNAME=servername
DB_USERNAME=username
DB_PASSWORD=password
DB_NAME=databasename

注意：.user.ini的生效可能需要等待数分钟，或通过Bluehost控制面板重启PHP服务。之后可通过getenv()或$_ENV读取变量。

方案3：继续使用phpdotenv（推荐） #

将.env文件放在网站根目录的上级目录（例如你的用户主目录/home/your_username/，网站根目录为/home/your_username/public_html/），然后在PHP入口文件（如index.php）中加载phpdotenv：

require_once '/home/your_username/vendor/autoload.php';
$dotenv = Dotenv\Dotenv::createImmutable('/home/your_username/');
$dotenv->load();

同时给.env文件设置严格权限：

chmod 600 /home/your_username/.env

这种方式与本地开发流程一致，无需大幅修改代码，且.env不在网站根目录，不会被直接访问。

验证方法 #

创建test.php文件测试变量是否可读取：

<?php
echo "DB_NAME via getenv: " . getenv('DB_NAME') . "<br>";
echo "DB_NAME via _SERVER: " . $_SERVER['DB_NAME'] . "<br>";
echo "DB_NAME via _ENV: " . $_ENV['DB_NAME'] . "<br>";
?>

内容的提问来源于stack exchange，提问作者Carson D