PHP openssl扩展加密解密实战指南

顾星河

发布时间：2026-10-13 | 3人浏览过

原创

在互联网开发中，保障数据来源真实性、数据完整性及私密性至关重要。虽然HTTPS普及，但针对业务层面的敏感数据（如交易信息），仍需在应用层进行手动加密。PHP的OpenSSL扩展提供了丰富的函数库，支持对称与非对称加密算法。本文将深入解析如何正确使用该扩展，包括AES对称加密、RSA非对称加解密以及基于SHA256的数字签名验证，并提供完整的代码实现与注意事项。

加密基础与算法选择

在使用工具前，明确加密类型有助于选择合适的方案：

对称加密：发送方和接收方使用同一密钥。速度快，适合大数据量传输。常用算法包括AES、DES。
风险在于密钥保管需极高安全性，一旦泄露则全盘皆输。
非对称加密：使用公钥和私钥配对。公钥公开用于加密，私钥保密用于解密。解决了密钥分发问题，但计算量大、速度较慢，适合小数据或密钥交换场景。常用算法为RSA、DSA。
数字签名：利用哈希算法（如MD5、SHA1、SHA256）生成数据摘要，再用私钥加密摘要形成签名。用于验证数据的完整性和来源，不可逆且对数据微小改动极其敏感。

PHP OpenSSL 核心函数说明

OpenSSL扩展封装了底层C语言库，常用函数分类如下：

第1步：获取加密方法列表

在进行对称加密前，需确定支持的Cipher算法。

$methods = openssl_get_cipher_methods();
// 常见结果包含: aes-128-cbc, des-ecb, des-ede3 等

第2步：对称加密操作

使用openssl_encrypt进行加密，openssl_decrypt进行解密。这是最基础的加密方式。

// 加密
$crypted = openssl_encrypt($data, 'aes-256-cbc', $key);

// 解密
$decrypted = openssl_decrypt($crypted, 'aes-256-cbc', $key);

第3步：非对称密钥管理

从.pem证书文件加载公钥和私钥对象。

$pubKey = openssl_pkey_get_public(file_get_contents('public.key'));
$privKey = openssl_pkey_get_private(file_get_contents('private.key'));

第4步：非对称加解密（含分块处理）

RSA加密有长度限制（取决于密钥位数，如2048位密钥最大约245字节）。若数据过长，必须分块加密后再拼接。

$raw_msg = "Long sensitive data...";
$encrypted = '';
$key_size = openssl_pkey_get_details($pubKey)['bits'] / 8 - 11; // PKCS#1 padding overhead

for ($offset = 0, $length = strlen($raw_msg); $offset < $length; $offset += $key_size) {
    $block = substr($raw_msg, $offset, $key_size);
    $encryptedBlock = '';
    if (openssl_public_encrypt($block, $encryptedBlock, $pubKey, OPENSSL_PKCS1_PADDING)) {
        $encrypted .= $encryptedBlock;
    } else {
        throw new Exception("Encryption failed at block: $offset");
    }
}
return $encrypted;

第5步：数字签名与验签

使用私钥对数据进行签名，公钥进行验证。推荐使用SHA256以替代较弱的SHA1。

// 签名
$signature = '';
openssl_sign($data, $signature, $privKey, OPENSSL_ALGO_SHA256);

// 验签
$result = openssl_verify($data, $signature, $pubKey, OPENSSL_ALGO_SHA256);
// 返回 1: 成功, 0: 失败, -1: 错误

实际应用场景建议

混合加密：鉴于RSA速度慢且不支持长文本，推荐采用“RSA+AES”模式。即使用RSA加密一个临时的AES密钥，使用该AES密钥加密实际业务数据。这兼顾了效率与密钥安全。
传输方式：加密后的数据通常为二进制串，在HTTP传输中建议使用Base64编码转换为字符串，或通过JSON API传递。可使用cURL或SOAP扩展发送请求。
Padding选择：务必注意填充参数（如OPENSSL_PKCS1_PADDING）。如果加密端使用了特定填充，解密端也必须保持一致，否则会导致解密失败或乱码。

以上就是PHP openssl扩展对称非对称加解密与签名验签的详细内容，更多关于PHP加密开发实战的资料请关注本站其它相关文章！