systemd 服务怎么从文件读取环境变量

可以用 EnvironmentFile=。把变量写成独立的 UTF-8 文本文件，在服务的 [Service] 段加入绝对路径，例如 EnvironmentFile=/etc/myapp/api.env。它不是 shell 脚本，不要写 export，也不要把加载文件当成执行脚本。

先把变量放进 systemd 能识别的文件

环境文件是一组换行分隔的变量赋值。空行、没有等号的行，以及以 # 或 ; 开头的行会被忽略，适合把说明留在文件里。一个最小示例如下：

# /etc/myapp/api.env
APP_ENV=production
PORT=8080
LOG_DIR="/var/log/myapp"
FEATURE_FLAGS=search,metrics

值中有空格时用单引号或双引号包住；反斜杠可以续接下一行。这里的语法只提供环境赋值，不等同于 Bash：例如 export PORT=8080 不是应写入的格式。环境文件应限制权限，尤其不要让普通用户可写。

在 [Service] 中声明 EnvironmentFile=

把指令放在服务单元的 [Service] 段。路径使用绝对文件名，必要时可以声明多个文件：

[Unit]
After=network-online.target

[Service]
ExecStart=/usr/local/bin/myapp
EnvironmentFile=/etc/myapp/api.env
EnvironmentFile=-/etc/myapp/local.env
Restart=on-failure

[Install]
WantedBy=multi-user.target

第一行要求 api.env 必须存在且可读；第二行前面的短横线表示本地覆盖文件可以不存在。文件会在服务进程执行前读取，因此可以由前一个 unit 状态生成，再由下一次启动读取。它读取的是服务管理器看到的文件系统，不能把变量文件只放在之后才出现的 bind mount 里。

重载后再启动，别把旧进程当成新配置

修改 unit 文件后先让 systemd 重新读取配置，再重启服务：

# 让 systemd 重新读取 unit 文件
sudo systemctl daemon-reload
# 让服务进程在下一次启动时读取 EnvironmentFile
sudo systemctl restart myapp.service
# 查看该 unit 的环境属性，排查变量是否进入服务环境
systemctl show myapp.service --property=Environment

daemon-reload 只重载 unit 定义，不会自动替换正在运行的进程；所以只执行它看不到旧进程环境的变化。服务若因环境文件缺失或格式非法而启动失败，可先看 systemctl status myapp.service 和 journalctl -u myapp.service 的错误，再处理路径、权限或编码。

覆盖关系和敏感配置要分开判断

如果同一个变量同时出现在 Environment= 和 EnvironmentFile=，环境文件中的值优先；多个环境文件则按声明顺序由后者覆盖前者。另一方面，EnvironmentFile= 的路径不会把 $HOME 当作 shell 变量展开；需要动态路径时应查看 systemd 支持的 % specifier，通常仍建议写清楚绝对路径。

环境变量会出现在进程环境中，并可能被同一进程树中的其他程序看到。数据库密码、私钥、访问令牌等不要为了省事直接放在普通环境文件里；可根据 systemd 版本和部署方式改用 LoadCredential=、LoadCredentialEncrypted= 或 SetCredentialEncrypted=，把秘密放到 credential 通道。

常见问题

EnvironmentFile 能写 export 吗？

不能按 shell 脚本理解。写普通的 NAME=value，不要添加 export、命令替换或其他 shell 执行语句。

改了 env 文件为什么服务没变化？

环境变量是在启动进程前读取的。执行 systemctl restart，必要时先执行 daemon-reload；仅刷新文件不会改变旧进程。

EnvironmentFile 文件不存在怎么办？

必选写法会让服务启动失败；在确认该配置确实可选时，把路径写成 EnvironmentFile=-/绝对路径。

systemd 环境文件适合保存密码吗？

不适合。权限控制只能降低文件读取风险，不能改变环境变量可能沿进程树暴露的特性；敏感值应评估 credential 方案。

相关规则可继续查阅 systemd.exec 的 EnvironmentFile= 文档，重点看文件格式、读取时机、覆盖顺序和可选文件前缀。