修复URL传值转义问题的PHP Authcode函数优化版

问题原理分析

该加密算法依赖 base64_encode 生成字符串。标准的 Base64 编码结果中包含字母、数字以及三个特殊符号：+、/ 和 =。

• + 和 /：在许多Web框架或中间件中，URL中的这些字符具有特定含义或被严格过滤/转义，导致发送端输出的明文与接收端获取到的文本不一致。
• =：作为填充符，有时也会引起解析歧义。

优化方案操作

第1步：引入字符映射替换逻辑

为了绕过URL编码的限制，我们在加密输出前和加密输入后分别执行“预替换”和“后还原”操作。即在使用 str_replace 将危险字符临时替换为安全的占位符（如 [a], [b], [c]），待传输完成后再逆向还原。

第2步：应用修复后的 PHP 核心代码

以下是经过验证的完整函数实现。请注意观察 DECODE 分支开头的清理逻辑，以及非解码分支末尾的输出处理逻辑：

function authcode($string, $operation = 'ENCODE', $key = '', $expiry = 0){
    // 如果是解密模式，先恢复被转义的特殊字符
    if($operation == 'DECODE') {
        $string = str_replace('[a]','+',$string);
        $string = str_replace('[b]','&',$string); 
        $string = str_replace('[c]','/',$string);
    }

    $ckey_length = 4;
    // 确保密钥存在，默认使用 livcmsencryption
    $key = md5($key ? $key : 'livcmsencryption ');
    $keya = md5(substr($key, 0, 16));
    $keyb = md5(substr($key, 16, 16));
    
    // 生成随机控制串或提取前端传来的控制串
    $keyc = $ckey_length ? ($operation == 'DECODE' ? substr($string, 0, $ckey_length): substr(md5(microtime()), -$ckey_length)) : '';
    
    // 组合真正的加密密钥
    $cryptkey = $keya.md5($keya.$keyc);
    $key_length = strlen($cryptkey);
    
    // 准备待加密的数据串（含过期时间校验头）
    $string = $operation == 'DECODE' ? base64_decode(substr($string, $ckey_length)) : sprintf('%010d', $expiry ? $expiry + time() : 0).substr(md5($string.$keyb), 0, 16).$string;
    $string_length = strlen($string);
    
    $result = '';
    $box = range(0, 255);
    $rndkey = array();
    for($i = 0; $i <= 255; $i++) {
        $rndkey[$i] = ord($cryptkey[$i % $key_length]);
    }
    
    // RC4-like 置换算法初始化
    for($j = $i = 0; $i < 256; $i++) {
        $j = ($j + $box[$i] + $rndkey[$i]) % 256;
        $tmp = $box[$i];
        $box[$i] = $box[$j];
        $box[$j] = $tmp;
    }
    
    // 加密/解密过程
    for($a = $j = $i = 0; $i < $string_length; $i++) {
        $a = ($a + 1) % 256;
        $j = ($j + $box[$a]) % 256;
        $tmp = $box[$a];
        $box[$a] = $box[$j];
        $box[$j] = $tmp;
        $result .= chr(ord($string[$i]) ^ ($box[($box[$a] + $box[$j]) % 256]));
    }
    
    // 判断执行动作
    if($operation == 'DECODE') {
        // 验证时效性与身份标识
        if((substr($result, 0, 10) == 0 || substr($result, 0, 10) - time() > 0) && substr($result, 10, 16) == substr(md5(substr($result, 26).$keyb), 0, 16)) {
            return substr($result, 26);
        } else {
            return '';
        }
    } else {
        // 构建最终输出串
        $ustr = $keyc.str_replace('=', '', base64_encode($result));
        // 关键步骤：替换URL不安全的Base64字符
        $ustr = str_replace('+','[a]',$ustr);
        $ustr = str_replace('&','[b]',$ustr);
        $ustr = str_replace('/','[c]',$ustr);
        return $ustr;
    }
}

使用方法与注意事项

1. 参数说明：
   - $string: 待加密的纯文本或待解密的密文。
   - $operation: 'ENCODE' 或 'DECODE'（注：原逻辑中ENCODE默认为false，此处显式区分更清晰）。
   - $key: 共享密钥，建议设置为长且随机的字符串。
   - $expiry: 有效期秒数，设为0表示永不过期。
2. URL传递示例：
   将加密结果放入URL参数时，可直接拼接：
   <a href="/page.php?id=" . authcode($data, 'ENCODE') . "">链接</a>
   接收页使用 authcode($id, 'DECODE', $key) 即可还原。

以上就是修复版PHP Authcode加密解密函数的详细内容，更多关于PHP安全开发与字符串处理的资料请关注本站其它相关文章！