thinkphp5框架在github上分享如何统一管理各种api接口密码不泄露

Question

问题描述：

把thinkphp5框架开发的php源码分享到github或者直接复制分享出来的时候，代码里涉及到数据库账号密码和各种第三方如支付宝支付接口秘钥 qq登录密码 发送短信接口密码。每次修改一遍比较麻烦，又影响自己的使用，有什么比较成熟的

大概我自己的思路：

我发现thinkphp框架里有个.env环境变量配置文件，是否是把所有的敏感信息放到这个文件里，再调用？还是放到数据库一个表里？还请大家多多指教！