Ахаха, да, хранить ключи в коде – это как оставить дверь от своей квартиры открытой с табличкой "Заходи, гостям рад". .env — это спасение, но и с ним не расслабляйся, .gitignore обновлять надо, а то коммитишь и уже все секреты в интернет летят. Простое правило: ключи там, где код не гуляет, и никаких чудес. Прямо в php файле их держать — это просто приглашение к фейерверку из проблем.