.env の直接ダウンロード

.env に接続情報やAPIキーを書くのは一般的。しかし公開ディレクトリに 置くと、URLを直接叩くだけで中身がダウンロードできてしまう （Apacheは .ht* 以外の隠しファイルを普通に配信する）。

試す: /fileaccess/dotenv/.env を直接開く → APIキーやDBパスワードが平文で見える。

対策

• 公開ディレクトリの外（ドキュメントルート外）に置く
• APIキーはソースにも .env にも「公開されうる場所」には置かない設計
• 万一漏れたら必ずローテーション（鍵の再発行）。消しても履歴に残る
• Web公開ファイルとしての .env は Web サーバー設定でアクセス拒否する