利用crypt() 驗證配置文件完整性

M66 2025-05-28

在開發過程中，確保配置文件的完整性和安全性是非常重要的，特別是涉及到敏感信息如數據庫密碼、API 密鑰等。 PHP 提供了一個內置函數crypt() ，主要用於密碼加密，但它同樣可以用來幫助我們驗證文件內容的完整性。本文將詳細介紹如何利用PHP 的crypt()函數來實現這一功能，並結合實際代碼示例，演示具體操作。

什麼是crypt()函數？

crypt()是PHP 中用於加密字符串的函數，常用於密碼哈希。它支持多種加密算法（如DES、Blowfish、SHA-256、SHA-512 等），並允許你通過指定鹽值來增加安全性。雖然它不是專門設計用於文件完整性校驗，但藉助它的不可逆性和鹽值機制，我們可以用它生成配置文件的哈希值，並在後續驗證時進行比對。

為什麼用crypt()來驗證配置文件完整性？

不可逆性： crypt()生成的哈希是不可逆的，保證了文件內容的安全性。
鹽值機制：增加了哈希的唯一性和安全強度，避免簡單哈希的碰撞問題。
內置支持：PHP 內置，無需額外擴展，易於部署。

驗證配置文件完整性的思路

讀取配置文件的內容。
生成該內容的哈希值（使用crypt() ，並保存鹽值）。
將哈希值保存到安全位置（數據庫或單獨文件）。
以後驗證時，再次讀取配置文件內容，生成哈希值，並與保存的哈希值對比。
如果哈希值一致，說明配置文件未被篡改；否則提示文件可能被修改。

示例代碼

<?php
// 配置文件路徑
$configFile = 'config.ini';

// 讀取配置文件內容
$configContent = file_get_contents($configFile);
if ($configContent === false) {
    die("無法讀取配置文件。");
}

// 生成鹽值（例如用 Blowfish 演算法，鹽長度為22）
$salt = '$2y$12$' . substr(str_replace('+', '.', base64_encode(random_bytes(16))), 0, 22);

// 生成哈希值
$hash = crypt($configContent, $salt);

// 將哈希值保存到安全文件
file_put_contents('config_hash.txt', $hash);

echo "配置文件哈希已生成並保存。\n";

// -------------- 驗證階段 --------------

// 重新讀取配置文件內容
$newContent = file_get_contents($configFile);
if ($newContent === false) {
    die("無法讀取配置文件。");
}

// 讀取保存的哈希
$savedHash = file_get_contents('config_hash.txt');
if ($savedHash === false) {
    die("无法讀取保存的哈希值。");
}

// 使用保存的哈希作為鹽值對新內容進行加密
$newHash = crypt($newContent, $savedHash);

// 比較兩次哈希值
if (hash_equals($savedHash, $newHash)) {
    echo "配置文件完整性驗證通過，未被篡改。\n";
} else {
    echo "配置文件完整性驗證失敗，文件內容可能已被修改！\n";
}
?>

說明

這裡利用了crypt()函數的特性：如果第二個參數是已有的哈希， crypt()會使用相同的鹽值生成新的哈希。
hash_equals()用於防止時序攻擊，安全地比較哈希字符串。
你可以將哈希值保存到數據庫或其他安全存儲介質，避免被輕易修改。
crypt()支持多種算法，以上示例使用了Blowfish（ $2y$ ）算法，你也可以根據需要選擇其他算法，但鹽值格式需要對應。

擴展建議

結合配置文件的權限設置，提高安全性。
定期校驗配置文件，尤其在自動化部署後。
結合日誌系統，記錄每次驗證結果。