最稳妥方式是用 require 或 include 加载 PHP 格式配置文件；因其为可执行脚本，直接返回数组，无解析开销、无类型转换风险、支持注释和条件逻辑，避免 JSON 等格式因权限、BOM、编码等问题导致 null 错误。
PHP 动态网站读取配置文件，最稳妥的方式是用 require 或 include 加载 PHP 格式配置文件，而非 JSON/YAML 等外部格式——除非你明确需要运行时重载或非 PHP 环境共享。
为什么优先选 PHP 格式配置文件
PHP 配置文件本质是可执行脚本，返回数组即可被直接赋值使用，无需解析开销、无类型转换风险、天然支持注释和条件逻辑。常见错误是强行用 json_decode(file_get_contents('config.json'))，结果遇到权限问题、BOM 头、中文编码或空格导致 null 返回却没检查。
- PHP 配置文件示例：
config.php内容应为：'localhost', 'debug' => true];
- 加载方式必须用
require（不是require_once，避免被意外覆盖），并检查返回值是否为数组：$config = require 'config.php'; if (!is_array($config)) { throw new RuntimeException('Invalid config format'); } - 不推荐在配置里写
echo、print_r或任何输出语句，会导致 headers already sent 错误
如何安全地从环境变量注入敏感配置项
数据库密码、API 密钥等绝不能硬编码在配置文件中。PHP 7.1+ 支持 getenv()，但需确认 variables_order 包含 E（默认开启）；更可靠的是用 $_ENV 或 $_SERVER，前提是 Web 服务器已正确传递。
- Apache 用户需在
.htaccess或虚拟主机配置中显式设置：SetEnv DB_PASSWORD "xxx"
- Nginx 用户需在
fastcgi_param中透传：fastcgi_param DB_PASSWORD $DB_PASSWORD;
- 代码中获取：$config['db_password'] = $_ENV['DB_PASSWORD'] ?? $_SERVER['DB_PASSWORD'] ?? '';
- 注意：Docker 容器内若用
env_file，PHP 进程启动后才读取，getenv()可用，但$_ENV可能为空（取决于php.ini的variables_order）
多环境配置怎么组织才不混乱
不要靠修改同一份配置文件来切换开发/生产环境，容易误提交。应该让入口文件（如 index.php）决定加载哪个配置，且环境标识由服务器决定，而非代码里写死 if ($_SERVER['HOST_NAME'] === 'prod')...。
立即学习“PHP免费学习笔记（深入）”；
- 典型结构：
config/ ├── common.php // 公共配置 ├── dev.php // 开发环境覆盖 ├── prod.php // 生产环境覆盖 └── index.php // 合并逻辑
-
index.php内容示例： -
array_replace_recursive()比array_merge()更适合嵌套数组（如日志配置里的handlers子键）
为什么不要用 parse_ini_file() 读取配置
虽然它支持注释和简单键值，但解析结果全是字符串，布尔值 on/off、整数 123 全变成字符串，且无法处理嵌套结构。更麻烦的是，INI 文件对等号前后空格敏感，debug = true 和 debug=true 在某些 PHP 版本行为不一致。
- 如果你已用 INI，务必手动转换类型：
$ini = parse_ini_file('app.ini'); $config['debug'] = filter_var($ini['debug'], FILTER_VALIDATE_BOOLEAN); $config['port'] = (int)$ini['port']; - 没有注释需求时，纯 PHP 配置更直观；有注释又想结构化，不如直接上
YAML+symfony/yaml组件——但这就超出“原生轻量”范畴了 - 最关键一点：
parse_ini_file()不会报错提示语法错误，而是静默失败返回false，极易漏查
配置加载看似简单，真正出问题往往在路径拼错、环境变量未透传、数组合并逻辑没覆盖深层键、或者测试时用了缓存的旧配置——建议每次改完立刻在目标环境跑一次 var_dump($config) 确认实际内容。
