まずは composer で dotenv をインストールする。

$ composer require vlucas/phpdotenv

.env ファイルを用意する(例)。

APP_ENV=development
PASSWORD=1234

その後、任意のファイルに下記のコードを追加する。

<?php
require '/path/vendor/autoload.php';

// .env ファイルがある位置
$dotenv = new Dotenv\Dotenv(__DIR__ . '/..');
$dotenv->load();

echo getenv('APP_ENV'); // development
echo getenv('PASSWORD'); // 1234

その後、.gitignore で除外+ .htaccess でアクセス拒否設定を行う。