Можно ли использовать .env в production?
.env файл не загружается в гит. На то он и env (environment - среда), что бы каждый раз настраивать его под нужную среду. Так что в проде он тоже используется.
"It is important to remember that this setup should only be used for development. For production you should still set your environment variables in the standard way" - написано в статье. Дочитывайте до конца) the standard way = .env
Ну а зачем тратить ресурс для того, что-бы считывать статичные данные. Я думаю тут только это важно и речь не о безопасности.
upd. 19:08 stackoverflowphpdotenv is made for development environments, and generally should not be used in production. In production, the actual environment variables should be set so that there is no overhead of loading the .env file on each request. This can be achieved via an automated deployment process with tools like Vagrant, chef, or Puppet, or can be set manually with cloud hosts like Pagodabox and Heroku.