如何保护Node.js应用的.env文件？解决cPanel部署下可下载问题

你的问题核心是.htaccess规则的文件名匹配错误——你写的是"env"，但实际要保护的是带点前缀的.env文件，导致规则根本没匹配到目标文件。下面是几种可行的解决办法：

方法1：修正.htaccess规则 #

把你的.htaccess规则改成以下任意一种，放在应用的web根目录（通常是public_html）下：

精确匹配.env文件 #

<Files ".env">
    Order Allow,Deny
    Deny from all
</Files>

通用规则：阻止所有隐藏文件 #

如果想一次性保护所有带点前缀的隐藏文件（比如.gitignore、.htaccess自身等），可以用这个规则：

<FilesMatch "^\.">
    Order Allow,Deny
    Deny from all
</FilesMatch>

方法2：将.env移到web根目录之外（更安全） #

cPanel的web访问根目录是public_html，如果你的Node.js应用部署在此目录内，直接把.env移动到public_html的上层目录（即你的cPanel主目录），这样web服务器完全无法访问到该文件，从根源上杜绝风险。之后在Node.js代码里指定.env的路径即可，比如：

require('dotenv').config({ path: '../.env' });

方法3：确认权限与部署配置 #

虽然你已将权限设为0600，需确保文件所有者是你的cPanel用户（而非root），否则权限设置可能不生效。另外，若你是通过cPanel的「Node.js Selector」部署应用，要确认Passenger配置没有绕过.htaccess规则——确保.htaccess放在Passenger设置中指定的「Application Root」对应的web访问目录下。

内容的提问来源于stack exchange，提问作者sabirans04