PHP：调用putenv函数时，变量是否需要转义？若需转义该如何操作？

首先先纠正示例代码里的一个小问题：getenv(ON_SOME_ENVIRONMENT)应该写成getenv('ON_SOME_ENVIRONMENT')——如果不加引号，PHP会把ON_SOME_ENVIRONMENT当作常量，若未定义则会抛出警告（取决于错误级别），并将其作为字符串'ON_SOME_ENVIRONMENT'处理，这大概率不是你想要的效果。

核心问题：$dir包含=字符时是否需要转义？ #

答案是：通常不需要专门转义=字符。

因为putenv()的底层实现（无论PHP还是操作系统）都会将第一个=作为KEY和VALUE的分隔符，后续出现的=会被完整保留在VALUE中。举个实际运行的例子：

$dir = '/var/www/my=project';
putenv('SOME_KEY=' . $dir);
echo getenv('SOME_KEY'); // 输出: /var/www/my=project

这段代码可以正常运行，VALUE里的=不会破坏环境变量的结构。

那哪些字符需要转义/处理？ #

虽然=不需要转义，但有一些特殊字符会导致环境变量设置异常甚至引发安全问题，必须处理：

• 换行符（\n或\r）：如果VALUE中包含换行，操作系统会将换行后的内容当作新的环境变量定义，可能被恶意利用注入其他环境变量。
• 空字符（\0）：大多数系统的环境变量不支持空字符，会直接截断VALUE内容。

针对这些危险字符，你可以手动过滤替换：

$dir = dirname(__FILE__);
// 移除换行符和空字符，确保环境变量值安全
$safe_dir = str_replace(["\n", "\r", "\0"], '', $dir);
putenv('SOME_KEY=' . $safe_dir);

另外补充一个安全小提示：如果只是在PHP内部使用这个变量，不需要传递给子进程，直接使用$_ENV['SOME_KEY'] = $dir;会更安全，完全不用担心特殊字符的问题；但如果需要让当前进程的子进程也能读取到该环境变量，putenv()才是正确的选择。

内容的提问来源于stack exchange，提问作者Luke A. Leber