Laravel应用密钥：生产/预发布环境需重新生成还是复用本地密钥？

1. 密钥复用还是重新生成？ #

必须为生产/预发布环境单独生成新的应用密钥，绝对不能复用本地开发环境的密钥：

• Laravel的应用密钥用于加密会话数据、Cookie、敏感配置等核心内容，本地密钥可能在开发过程中被多人知晓，一旦泄露，攻击者可解密所有加密过的敏感信息，风险极高。
• 不同环境使用独立密钥，能避免某一环境密钥泄露后影响其他环境的安全性。

服务器上生成密钥的命令：

php artisan key:generate --force

--force参数会直接覆盖当前环境的APP_KEY配置，适合生产环境部署场景。

2. 能否将密钥存入.env.template或示例文件？ #

绝对不可以把真实应用密钥（任何环境的）存入.env.template或公开示例文件中。这类文件会被提交到代码仓库，一旦密钥公开，所有用该密钥加密的数据都会面临被解密的风险。

.env.template只应保留配置项的占位符，示例如下：

APP_NAME=Laravel
APP_ENV=production
APP_KEY=
APP_DEBUG=false
...

部署时，可通过GitHub Action的密钥管理功能（如GitHub Secrets）将生产环境的APP_KEY注入服务器的.env文件，或手动在服务器配置该密钥。

内容的提问来源于stack exchange，提问作者Maik Lowrey