CodeIgniter 4如何移除Database.php中硬编码的数据库连接值

针对CI4中数据库配置硬编码导致的敏感信息泄露风险，有以下几种可行的解决方式：

一、使用环境变量（优先推荐） #

CI4原生支持环境变量读取，完全可以替代硬编码，步骤如下：

1. 项目根目录创建/修改.env文件（无则复制.env.example重命名），添加数据库配置：

database.default.hostname = localhost
database.default.username = adm
database.default.password = your_secure_password
database.default.database = mydatabase
database.default.DBDriver = sqlsrv
database.default.port = 3306

2. 修改app/Config/Database.php，将硬编码值替换为环境变量读取：

$default = [
    'DSN'      => env('database.default.DSN', ''),
    'hostname' => env('database.default.hostname', 'localhost'),
    'username' => env('database.default.username', ''),
    'password' => env('database.default.password', ''),
    'database' => env('database.default.database', ''),
    'DBDriver' => env('database.default.DBDriver', 'sqlsrv'),
    'DBPrefix' => '',
    'pConnect' => false,
    'DBDebug'  => false,
    'charset'  => 'utf8',
    'DBCollat' => 'utf8_general_ci',
    'swapPre'  => '',
    'encrypt'  => false,
    'compress' => false,
    'strictOn' => false,
    'failover' => [],
    'port'     => env('database.default.port', 3306),
];

注意：务必将.env加入.gitignore，禁止提交到代码仓库，避免源码泄露时暴露敏感信息。

二、加密敏感配置值 #

利用CI4自带的加密类对密码等敏感值加密，即使源码泄露，无密钥也无法获取真实信息：

1. 设置加密密钥：在.env中添加app.encryptionKey = your_encryption_key，密钥可通过命令php spark key:generate自动生成。
2. 加密敏感内容：编写临时脚本生成加密后的字符串（执行后删除脚本）：

<?php
require_once 'vendor/autoload.php';

$encrypter = \Config\Services::encrypter();
$plainPassword = 'your_real_password';
echo $encrypter->encrypt($plainPassword) . PHP_EOL;

3. 在Database.php中解密使用：

$encrypter = \Config\Services::encrypter();

$default = [
    // 其他配置项保持不变
    'password' => $encrypter->decrypt('上面生成的加密字符串'),
    // 其他配置项...
];

三、自定义外部配置加载 #

将敏感配置存放在Web根目录之外的文件中，通过自定义逻辑读取：

1. 在服务器安全路径创建配置文件（如/var/secure/db_config.php），设置文件权限为600：

<?php
return [
    'hostname' => 'localhost',
    'username' => 'adm',
    'password' => 'your_secure_password',
    'database' => 'mydatabase',
];

2. 在Database.php中加载该配置：

$externalDbConfig = require '/var/secure/db_config.php';

$default = [
    'DSN'      => '',
    'hostname' => $externalDbConfig['hostname'] ?? 'localhost',
    'username' => $externalDbConfig['username'] ?? '',
    'password' => $externalDbConfig['password'] ?? '',
    'database' => $externalDbConfig['database'] ?? '',
    'DBDriver' => 'sqlsrv',
    // 其他配置项保持原样
];

内容的提问来源于stack exchange，提问作者Mr. NoName