當前位置: 首頁> 最新文章列表> 構建自定義加密流程混合crypt() 和openssl_*

構建自定義加密流程混合crypt() 和openssl_*

M66 2025-05-28

在構建安全的PHP 應用時，開發者常常面對加密需求，包括數據存儲加密、用戶密碼保護、數據傳輸加密等。 PHP 原生支持多種加密方式，其中crypt()函數適用於密碼哈希，而openssl_*系列函數則適合用於對稱與非對稱加密、生成密鑰、加密通信等任務。

在本文中，我們將結合使用crypt()和openssl_*函數構建一個自定義加密流程，以同時兼顧密碼哈希安全性與數據加密的靈活性。

一、自定義加密流程的構思

我們希望實現如下目標：

  1. 用戶密碼哈希—— 使用crypt()進行不可逆哈希；

  2. 數據加密—— 使用OpenSSL 對稱加密算法加密用戶的敏感數據；

  3. 密鑰保護—— 生成和管理密鑰，確保加密過程的安全；

  4. 數據解密—— 可還原密文為明文，前提是有正確密鑰。

二、密碼哈希：使用crypt()

crypt()是一個用於哈希密碼的函數。我們推薦使用bcrypt算法，這是一種經過驗證的適用於密碼哈希的算法。

 function hash_password($password) {
    $salt = '$2y$10$' . substr(str_replace('+', '.', base64_encode(random_bytes(16))), 0, 22);
    return crypt($password, $salt);
}

驗證密碼：

 function verify_password($password, $hash) {
    return crypt($password, $hash) === $hash;
}

三、對稱加密：使用openssl_encrypt()

為了加密用戶敏感數據，比如郵箱、身份證號，我們使用OpenSSL 的對稱加密方法，如AES-256-CBC 。

加密函數：

 function encrypt_data($plaintext, $key) {
    $iv_length = openssl_cipher_iv_length('AES-256-CBC');
    $iv = openssl_random_pseudo_bytes($iv_length);
    $ciphertext = openssl_encrypt($plaintext, 'AES-256-CBC', $key, OPENSSL_RAW_DATA, $iv);
    return base64_encode($iv . $ciphertext);
}

解密函數：

 function decrypt_data($encrypted, $key) {
    $data = base64_decode($encrypted);
    $iv_length = openssl_cipher_iv_length('AES-256-CBC');
    $iv = substr($data, 0, $iv_length);
    $ciphertext = substr($data, $iv_length);
    return openssl_decrypt($ciphertext, 'AES-256-CBC', $key, OPENSSL_RAW_DATA, $iv);
}

四、生成加密密鑰

你可以使用openssl_random_pseudo_bytes()生成一個安全密鑰：

 function generate_secure_key($length = 32) {
    return base64_encode(openssl_random_pseudo_bytes($length));
}

在真實項目中，應使用安全方式存儲密鑰，如使用環境變量或密鑰管理服務，而不是硬編碼在代碼中。

五、實際使用示例

$password = 'myStrongPassword123!';
$hashed = hash_password($password);

if (verify_password('myStrongPassword123!', $hashed)) {
    echo "密碼驗證通過\n";
}

$key = base64_decode('pL2u0xJNzYX2+x5sK8Xt5c34BLTPWhMHn0h0snA4MlQ='); // 示例密鑰
$secret = '用戶郵箱: user@example.com';
$encrypted = encrypt_data($secret, $key);
$decrypted = decrypt_data($encrypted, $key);

echo "加密後數據: $encrypted\n";
echo "解密後數據: $decrypted\n";

六、安全建議

  1. 使用HTTPS 進行數據傳輸，加密的數據不要通過明文通道發送；

  2. 密鑰管理是系統安全的核心，推薦配合安全模塊如HashiCorp Vault；

  3. 定期輪換密鑰和算法；

  4. 切勿將加密密鑰硬編碼到Git 倉庫或前端代碼中；

  5. 定期審計加密流程，及時修補已知漏洞。

七、應用場景擴展

這種結合使用crypt()和openssl_*的方式，適合應用於需要同時處理用戶認證與敏感數據加密的場景，比如：

  • 加密存儲銀行卡號、身份證；

  • 保護用戶聊天記錄或私密信息；

  • 構建用戶密碼與數據分離的多層安全機制；

  • 在後台定時對加密數據進行自動解密和分析（需極度小心密鑰洩露問題）。

八、結語

通過結合crypt()的不可逆哈希功能與OpenSSL 的對稱加密能力，我們能夠建立一個較為完整、安全的加密系統，既適合用戶密碼管理，又能滿足數據加密存儲的需求。隨著業務需求和安全威脅的演進，該方案也具備良好的可拓展性。

欲了解更多相關實現方案與最佳實踐，可以訪問官方文檔或社區討論平台，如：

相關內容